製品分野別セキュリティガイドライン
車載器編
Ver. 2.0

CCDS セキュリティガイドライン WG
車載器 SWG

改訂履歴
版数

改訂日

改訂内容

Ver.1.0

2016/06/08

新規作成

Ver.1.01

2016/06/15

4 章の表の体裁を整えた。表 5-2 の 3 項変更

Ver.2.0

2017/05/29

12 章追加に合わせ全面改訂■商標について・本書に記載の会社名、製品名などは、各社の商標または登録商標です。
■おことわり・本書に記載されている内容は発行時点のものであり、予告なく変更することがあります。
・本書の内容を CCDS の許可なく複製・転載することを禁止します。

© 2017 Connected Consumer Device Security Council Proprietary目次
1

はじめに .................................................................................................... 11.1

車載器のセキュリティの現状と課題 ........................................................................... 2

1.2

本書のねらいと対象者 ............................................................................................... 2

1.3

略称 .......................................................................................................................... 32

車載ガイドラインのシステムモデル ......................................................... 4

2.1

対象のモデル ............................................................................................................. 4

2.2

検討対象のシステムモデル ........................................................................................ 63想定されるセキュリティ上の脅威 ............................................................. 8

3.1

車内持ち込み機器 ...................................................................................................... 8

3.2

外部ネットワークからの攻撃 ..................................................................................... 8

3.3

車載器の想定脅威と想定被害 ..................................................................................... 94

ライフサイクルのフェーズとセキュリティの取組み ................................ 10

4.1

ライフサイクルにおけるフェーズの定義 ...................................................................10

4.2

各フェーズにおけるセキュリティの取組み .................................................................. 11
方針フェーズ ....................................................................................................... 12
企画・開発フェーズ ............................................................................................. 13
運用フェーズ ....................................................................................................... 16
廃棄フェーズ ....................................................................................................... 175

脅威分析について .................................................................................... 185.1

脅威事例の収集 ........................................................................................................185.2

リスク特性の項目 .....................................................................................................19

6

リスク評価の方法 .................................................................................... 25i

6.1

ETSI の改良方式 ......................................................................................................25

6.2

CRSS 方式（CVSS の応用方式） ..............................................................................27

6.3

RSMA 方式 ...............................................................................................................29

6.4

CCDS 改良方式 ........................................................................................................30

7

リスク評価の結果 .................................................................................... 33

7.1

ETSI の改良方式 ......................................................................................................33

7.2

CRSS 方式（CVSS の応用方式） ..............................................................................34

7.3

RSMA 方式 ...............................................................................................................35

7.4

CCDS 改良方式 ........................................................................................................36

8

リスク評価の傾向分析 ............................................................................. 37

8.1

分野固有・共通の傾向分析 .......................................................................................37

8.2

脅威の分類の傾向分析 ..............................................................................................388.3

接続 I/F（侵入ルート）の傾向分析 ...........................................................................39

8.4

who 誰がつなげたかの傾向分析 ...............................................................................40

8.5

whom 何が危害をうけたかの傾向分析 .....................................................................40

8.6

where どこで発生したかの傾向分析 .........................................................................41

9

まとめ ..................................................................................................... 42

10 「つながる世界の開発指針」と本書との関係 ........................................... 43
11 「自動車の情報セキュリティへの取組みガイド」と本書との関係 ........... 45
12 「IOT セキュリティガイドライン」と本書との関係 ................................. 46
参考文献 ........................................................................................................ 48ii

図 2-1 繋がる範囲 .......................................................................................................... 4
図 2-2 車載システムの参考例 ........................................................................................ 5
図 2-3 ガイドライン検討のシステムモデル ................................................................... 6
図 3-1 自動車に対する遠隔からの攻撃 .......................................................................... 8
図 4-1 自動車システムのライフサイクル ..................................................................... 10

表 2-1 略称一覧 ............................................................................................................ 3
表 2-1 システム構成要素の説明 .................................................................................... 7
表 3-1 想定脅威と被害 .................................................................................................. 9
表 4-1 フェーズの定義 ................................................................................................ 10
表 4-2 各フェーズにおけるセキュリティ取組みの指針一覧 .......................................... 11
表 4-3 方針フェーズのセキュリティ取組み ................................................................. 12
表 4-4 企画・開発フェーズのセキュリティ取組み ....................................................... 13
表 4-5 運用フェーズのセキュリティ取組み ................................................................. 16
表 4-6 廃棄フェーズのセキュリティ取組み ................................................................. 17
表 5-1 調査文献リスト ................................................................................................ 18
表 5-2 リスク特性の項目 ............................................................................................. 19
表 5-3 分野固有・共通 ................................................................................................ 20
表 5-4 脅威の分類 ....................................................................................................... 20
表 5-5 接続 I/F（侵入ルート） .................................................................................... 22
表 5-6 who 誰がつなげたか ......................................................................................... 23
表 5-7 whom 何が危害をうけたか ............................................................................... 23
表 5-8 where どこで発生したか .................................................................................. 24
表 6-1 ETSI の発生可能性と影響の定義 ....................................................................... 25
表 6-2 ETSI のリスク値のクラス分け .......................................................................... 25
表 6-3 ETSI 改良方式の動機と技術的困難さの定義 ..................................................... 26
表 6-4 ETSI 改良方式の発生可能性と影響の定義 ......................................................... 26
表 6-5 ETSI 改良方式のリスク値のクラス分け ............................................................ 26
表 6-6 ETSI 改良方式のリスク値の定義 ....................................................................... 27
表 6-7 基本評価基準 (Base Metrics) ........................................................................... 28
表 6-8 リスク値のクラス分け ...................................................................................... 28
表 6-9 発生可能性パラメータ ...................................................................................... 29
表 6-10 発生可能性レベル判定表 ................................................................................ 29
表 6-11 リスクレベル判定表 ........................................................................................ 30
表 6-12 攻撃の難易度と影響度の評価値 ...................................................................... 31iii

表 6-13 攻撃者のモチベーションの定義 ...................................................................... 32
表 6-14 リスク値のクラス分け .................................................................................... 32
表 7-1 ETSI の改良方式でのリスク評価例 ................................................................... 33
表 7-2 CRSS 方式でのリスク評価例 ............................................................................. 34
表 7-3 RSMA 方式でのリスク評価例 ............................................................................ 35
表 7-4 CCDS 改良方式でのリスク評価例 ..................................................................... 36
表 8-1 分野固有・共通の傾向分析 ............................................................................... 37
表 8-2 脅威の分類の傾向分析 ...................................................................................... 38
表 8-3 接続 I/F（侵入ルート）の傾向分析................................................................... 39
表 8-4 who 誰がつなげたかの傾向分析 ........................................................................ 40
表 8-5 whom 何が危害をうけたかの傾向分析 .............................................................. 41
表 8-6 where どこで発生したかの傾向分析 ................................................................. 41
表 10-1 「つながる世界の開発指針」と本書の対応表 1 ............................................... 43
表 10-2 「つながる世界の開発指針」と本書の対応表 2 ............................................... 44
表 11-1 「自動車の情報セキュリティへの取組みガイド」と本書の対応表 ................... 45
表 12-1 「IoT セキュリティガイドライン ver1.0」と本書の対応表 ............................ 46iv

1 はじめに
これまで製品業界ごとにセーフティ標準は策定されてきた。一方セキュリティ標準をみると、組織運営に関する標準（ISO27001）と製品設計のセキュリティ評価・認証に関する標準（ISO15408）が策定されており、近年では、重要インフラストラクチャー（社会インフラに欠かせないプラントや施設）の制御システムを対象とした標準（IEC62443）も策定されている状況である。
IoT の普及に伴い、身の回りにある生活機器が様々なネットワーク接続機能をもつこと
で、製品のセキュリティ懸念は増しているが、IoT 製品やサービスには欠かせないセキュリティ標準がいまだ生活機器に対しては整備されていない状況である。
欧米の動きをみると、各業界のセーフティ標準からセキュリティ標準を検討する動きが各所にみられる。一方、日本においてもセキュリティに関する懸念は顕在化しており、検討すべき、という声は多いが、具体的検討に入っている分野はまだ少ない状況となっている。
このような状況の中で、一般社団法人 重要生活機器連携セキュリティ協議会（CCDS）
は設立された。本協議会では、生活機器セキュリティ標準の策定と、その標準に沿っていることを確認・検証した認証プログラムをセットにすることで、ユーザに安心して IoT 製品を使ってもらえる環境を整えることを目標に活動を行っている。
平成 27 年 8 月 5 日には独立行政法人 情報処理推進機構（IPA）が「つながる世界の開発指針検討 WG」を発足させ、国レベルでのセキュリティ検討がスタートした。CCDS も
IPA-WG に参画し、CCDS 内でのガイドライン検討結果について提案を重ねてきた。

IPA-WG での検討結果は「つながる世界の開発指針～安全安心な IoT の実現に向けて開発者に認識してほしい重要ポイント」[1]としてまとめられ平成 28 年 3 月 24 日に公表された。IPA の開発指針は分野全体をカバーする共通事項を中心にまとめられた基本的な指針となっているが、CCDS では個々の製品分野において、具体的にセーフティとセキュリ
ティをカバーした設計・開発を進めるために、本分野別ガイドラインを策定した。

IPA 発行「つながる世界の開発指針」については、下記 URL のリンク先を参照。
http://www.ipa.go.jp/sec/reports/20160324.html

1

1.1

車載器のセキュリティの現状と課題

自動運転、コネクティッドカーなど、車の技術革新は目覚ましく、利便性は急速に向上している。一方で、安心、安全を脅かすサイバー攻撃が拡大しており、ネットワークや車
内持ち込みデバイスとつながるクルマが攻撃の対象となることが現実のものとなっている。
米国のセキュリティ関連イベント Black Hat 2015 では、Chrysler のコネクテッドカーシ
ステム「UConnect」の脆弱性を狙い JEEP のハッキングに成功した事例が報告された。
車載 LAN などを介して ECU に悪意のある偽の信号を送信し、ステアリングやブレーキなどを操作するといった脅威が現実のものになりつつある。
車がハッキングされた際の被害は人命に係るほど非常に甚大であり、開発技術者のみならず責任者や経営陣がセキュリティに対してどのように取り組んでいくべきかが課題となっている。
これまでネットワーク経由の脅威に直面することを想定していなかった製品が今後は攻撃の対象になり得るため、セキュリティを考慮した製品の企画・開発はもちろんのこと、利用者へのセキュリティ教育も考慮していく必要がある。

1.2

本書のねらいと対象者

本書は車載機器やシステムの開発に関わる企業の開発者を主な対象として、車載機器において適切なセキュリティ対策を実施するための、設計から製品リリース後までに考慮すべき設計・開発プロセスをガイドラインとしてまとめたものである。したがって本書は以下の方を主な対象としている。
１) 車載機器やシステムの設計を行う設計者および開発者
２) 車載機器やシステムの設計プロジェクトを推進する開発責任者
３) 車載機器やシステムの設計プロジェクトに関する予算や人員を決定する意思決定者
また、開発者だけでは対応が難しい経営層の理解や全社的に支援が必要な内容も盛り込
み、経営者にも参考にしていただける内容とした。車載機器やシステムの開発時に、IPAでまとめられた「つながる世界の開発指針」と合わせ、本ガイドラインを併用した検討に活用することを想定している。

2

1.3

略称

本書で使用されている略称について説明する。

表 2-1 略称一覧
略称

名称

A2DP

Advanced Audio Distribution Profile

CAN

Controller Area Network

CCDS

Connected Consumer Device Security council

CSIRT

Computer Security Incident Response Team

CVSS

Common Vulnerability Scoring System

D-Bus

Desktop Bus

DoS

Denial of Service

DSRC

Dedicated Short Range Communications

ECU

Engine Control Unit

ETC

Electronic Toll Collection system

GPS

Global Positioning System

GSM

Global System for Mobile communications

IEC

International Electrotechnical Commission

I/F

Interface

IoT

Internet of Things

IPA

Information-technology Promotion Agency

ISO

International Organization for Standardization

SWG

Sub Working Group

WG

Working Group

3

2 車載ガイドラインのシステムモデル
2.1

対象のモデル

対象とする車載システムの範囲を検討するにあたり、図 2-1 を参考にして、接続インターフェースを考えることとした。また、検討の範囲はヘッドユニット周りをモデル化し、そこに接続されているものを基本とする。検討対象のモデル化にあたっては、既に発表されている資料を参考にして検討を行った。参考にした車載システムを図 2-2 に示す。

図 2-1 繋がる範囲 [2]4図 2-2 車載システムの参考例 [3],[4],[5],[6],[7],[8]52.2

検討対象のシステムモデル

検討対象のシステムモデルを作成することで自動車の機能を整理し、脅威分析を行う際に、攻撃のルートとなる接続インターフェースや、攻撃者から守るべき資産、脅威の発生箇所等をイメージしやすくなる。そこで、前述の対象の範囲を参考にして、車外との接続
インターフェースや、車載されるヘッドユニットを中心に、そこに接続される車載機器や、車内持込機器をリストアップし、検討対象のモデルの素案を作成した。
作成した素案をもとに SWG のメンバーでレビューを行い、下記の意見を反映し修正を加えることとした。
・診断用ポート（OBDⅡ）を追加する。
・スマートキーの接続ルートを追加する。
・車外のサーバへのルートを追加する。
・ゲートウェイはセキュリティ機能の入っていないゲートウェイ（CAN GW）としての位置づけで記載する。
・車体系、駆動系、安全制御系の区分けは適切ではないので、ボディ系、パワートレイ
ン・シャーシ系、安全系に改める。
・充電系は対象外としする。
最終的にできあがったモデルを 図 2-3 に示す。

図 2-3 ガイドライン検討のシステムモデル

6

表 2-1 システム構成要素の説明
名称
車載器

説明
ナビ、オーディオ、車内電話など、ゲートウェイを介して外部と通信を行う装置。

車載通信機

有料道路の料金支払いや ITS サービスにおいて路側機と必要な情報を交信、テレマティクス通信、また車車間通信を行うために設置する無線装置。

OBD-Ⅱポート

On-Board Diagnostics, II generation、車載の診断インター
フェース

ゲートウェイ

車載システムにおいて二つの異なる通信手段または運用方
針を持つネットワーク間の相互通信を行う。

ECU

Electronic Control Unit、自動車に搭載される数々のシステ
ムを電子的に制御するユニット。

ETC

Electronic Toll Collection System、自動料金収受システム。

DSRC

Dedicated Short Range Communications、ITS（高度交通システム）サービスで路側機と交信、また車車間での通信を行う無線通信技術。

C2C

Car to Car Communication、車車間通信。

3G/GSM

第 3 世代移動通信システム（3rd Generation）／第 2 世代移動 通 信 シ ス テ ム （ Global

Systemfor

Mobilecommunications）
GPS アンテナ

衛星から位置情報の通信を受信するアンテナ。

車内持込機器

車載器と有線、無線接続、装着接続によりデータ通信を行う
機器。

Wi-Fi

Wi-Fi Alliance によって認定された、無線 LAN の規格。

BT

Bluetooth、デジタル機器用の近距離無線通信規格。

USB

Universal Serial Bus、コンピュータ等の情報機器に周辺機器を接続するためのシリアルバス規格。

SD

SD Card、携帯機器等で利用されるメモリーカード。

スマートキー

電子データを保持した自動車のキー。無線通信で車載コン
ピュータとデータ照合を行う。

7

3 想定されるセキュリティ上の脅威
3.1

車内持ち込み機器

スマートフォン、USB、SD などの持ち込み機器を接続インターフェースにつなげることによって外部からウイルス等の脅威が持ち込まれることが想定される。今後、自動車が連携する外部機器の種類は増加していくため、開発段階からあらゆる脅威に対する対策を講じることが重要になる。

3.2

外部ネットワークからの攻撃

スマートキー、GPS 情報、他の自動車との車車間通信、クラウド上のデータ活用など、
外部通信を行うことによって、データの傍受や運転操作の乗っ取りなどの悪意のある攻撃に直面することが想定される。

遠隔から車載LANに侵入した研究事例
遠 隔 か ら 車 載 LAN に 侵 入 し て ハ ン ド ル 操 作 や エ ン ジ ン を 不 正 に 制 御 し た 研 究 結 果 がBlack Hat 2015 で発表され、対象車種 140 万台のリコールに繋がった事例も出ている。

図 3-1 自動車に対する遠隔からの攻撃 [1]

8

3.3

車載器の想定脅威と想定被害車載器で想定される脅威とその被害について以下に示す。

表 3-1 想定脅威と被害
項番
1

2

想定脅威

想定被害

外部ネットワーク経由で車載ネット

通信機能を必要とする全サービスの利用

ワークに DoS 攻撃

停止

サーバなりすましによる虚偽メッセー

利用者の混乱など

ジの送信
3

ブラウザのバグを利用したストリーミ

インフォテインメント系サービスの利用

ングコンテンツによるシステムのフ

停止

リーズ
4

5

第三者による受信機を用いた通信メッ

運用管理機関の意図しないサービスへのセージの盗聴利用

第三者による GPS 信号発生器の悪用に誤った位置を含むメッセージ配信によるよる、誤った位置を含むメッセージの配

混乱の発生

信
6

利用者による車載器の悪用や第三者に誤った情報を含む走行情報配信による混よる通信機の利用により他の車載器へ

乱のなりすまし7

利用者による車載器の悪用や第三者に個人のプロファイリング

よる受信機の利用により、受信メッセー
ジから個人位置のトレース
8

3G/LTE 回線から第三者が定常運用時にECU が正常に動作できなくなり車両機能

故意に制御 ECU の制御機能を停止させが動作しないる
9

スマートフォンなどの Bluetooth 機器か設定が不正に変更されて意図しない性能

らディーラ職員がメンテナンス時に車変更がなされる

両状態情報を改ざんする
10

SD カードインターフェースから第三者

インフォメーション機能が正常に動作しが定常運用時に故意にインフォメー

なくなる

ション ECU のインフォメーション機能の誤作動を誘発する9

4 ライフサイクルのフェーズとセキュリティの取組みシステム開発には計画から開発、運用、廃棄に至るまでのライフサイクルが存在する。
そのすべてのフェーズにおいてセキュリティを考慮することが重要である。本章では各フェーズの定義とフェーズごとのセキュリティへの取組みについて説明する。

4.1

ライフサイクルにおけるフェーズの定義

自動車システムのライフサイクルのフェーズは、
「企画」、
「開発」、
「運用」、
「廃棄」の 4つに分類される。提供する製品において十分なセキュリティを確保するには、各フェーズ
において十分な対策を施し、製品のセキュリティ品質を確実なものとする必要がある。

図 4-1 自動車システムのライフサイクル [5]

表 4-1 フェーズの定義
フェーズ

説明

企画

製品のコンセプト、予算、要件定義の策定を行う。

開発

企画フェーズの要件定義を受けて設計・実装・製造を行う。

運用

ディーラから所有者（利用者）に販売され、利用者が使用している期間に、インシデントへの対応、整備、サービス等を行う。

廃棄所有者が中古車として売却または廃車手続きを行う。

10

4.2

各フェーズにおけるセキュリティの取組み

本書は自動車システムのライフサイクルにおいて、運用・廃棄フェーズで発生する脅威に対応できる仕組みづくりを企画・開発フェーズで考慮しておくためのガイドラインとしてまとめた。前節で概説したライフサイクルの各フェーズに沿ってセキュリティへの取組
み内容を説明する。
また、対策を実施するにはコストがかかることから、開発者だけでは対応が難しいことも多く、経営層の理解や全社的に支援が必要なことも多い。そこで、
「企画」、
「開発」、
「運
用」、
「廃棄」のライフサイクル全体を通しての基本となる考え方を、「方針」のフェーズとして加え、経営者にも参考にしてもらえるようにした。
各フェーズにおけるセキュリティ取組みの指針一覧を以下に示し以降で説明する。

表 4-2 各フェーズにおけるセキュリティ取組みの指針一覧
フェーズ

方針

項番

項目

取組みの指針1

基本方針

企業としての基本方針を作りましょう

2体制

企業として取り組むための体制を整えましょう3

教育

従業員への教育を定期的に実施しましょう1

評価対象モデル

脅威分析を行う範囲を決めましょう

2

脅威分析

脅威分析を行い、リスクを把握しましょう

3

対策の検討

対策を考えましょう

4

エビデンス

エビデンスを残しておきましょう

5

設計の関係者

設計者、開発者、あるいは外注者は、信頼しない考
え方でやりましょう

6

評価・検証

セキュリティの評価・検証を行いましょう

7

未知の脅威への対応

未知の脅威は必ず発生するものだと考えておきま
しょう

1

取扱説明書

必要なことはすべて取説に書いておきましょう

2

運用時の使われ方の定義

運用時の使われ方の範囲をきちんと定義しておきましょう3

ユーザへの注意
喚起

ユーザに異常を気づいてもらえるようにしましょう

4

アップデート

後からでも対策できるようにしておきましょう

5

運用の関係者

関係者はすべて信用しないようにしましょう6

インシデント情報の共有

インシデント情報を共有し有効に活用しましょう

1

難解析化

廃棄フェーズまで考慮した設計をしましょう2

初期リセット初期状態にもどせるようにしておきましょう

企画・開発

運用

廃棄

11

方針フェーズ
方針フェーズにおけるセキュリティの取組みを以下に示す。

表 4-3 方針フェーズのセキュリティ取組み
項番
1

項目

指針

内容

基本方針

企業としての基本方① コストがかかることなので経営層へ理解を求める。（経営層に理解を求めるためにも、針を作りましょう

経営層への教育や公的機関による重要性の発信が必要。）② 取り巻く脅威の変化に応じて基本方針をアップデートする。
③ どこまでやっていくのかの指針を検討する。
（対策にコストが際限なくかかり製品が作れなくなくならないように、ある程度の指針を決めておく。）
2体制

企業として取り組む① 企業によっては、組織横断的な活動となるこための体制を整えまとが考えられるため、当該活動の統括責任者

しょうを設置する。
② 取組みが継続的に運用され繰り返しサイク
ルで回る仕組みにする。
③ インシデントレスポンスセンターは通常のお客様相談センターとは別に設置することが望ましい。
（市場における製品挙動に何か問題があった時に、通常のお客様相談センターが受けると、単なる製品の不具合に区分けされ、セキュリティの問題として受け取られない可能性が大きいので、専門のインシデントレス
ポンスセンターを設けて対応できるようにすることが望ましい。）④ 受けたインシデント情報の社内での報告経路・報告方法を決めておく。
⑤ 今後、製品のセキュリティ関係者向けの資格制度を整備していくことが望ましい。

3

教育

従業員への教育を定① 基本方針の形骸化を防ぐため、従業員への教期的に実施しましょ

育を定期的に実施する。

う12

② 情報セキュリティの教育は対象者のレベルに応じて、いくつかのグループに分けて行う
ことが望ましい。
（CSIRT の担当者向け、開発者向け、ユーザ
向け、管理者向け、経営者向けで教育の内容が変わるため。）③ 従業員がブラックにならないための教育も必要。⇒「4.2.2 企画・開発フェーズ」の項
番 5「設計の関係者」の内容②も参照。

企画・開発フェーズ
企画・開発フェーズにおけるセキュリティの取組みを以下に示す。

表 4-4 企画・開発フェーズのセキュリティ取組み
項番
1

項目

指針

内容

評 価 対 象脅威分析を行う範囲① 対象のシステムを書く。

モデルを決めましょう② 想定接続先を書く。
③ 接続口を明確にする。
④ 隠れている I/F も全部書く。
⑤ 網羅的にまず脅威候補をあげる。

2

脅威分析

脅威分析を行い、リ① 最低でも一つの手法を用いて脅威分析をしスクを把握しましょてみる。できれば複数の評価手法で分析してう違いを見てみることが望ましい。
（評価手法によって得意不得意があるので、別な手法でも脅威分析を行ってみるとよい。）② 攻撃者のモチベーションや過去の事例の有無をリスク評価に反映させると更によい。
（過去の事例があると攻撃の難易度が下がり、攻撃者のモチベーションが上がる傾向があるため。）③ 対策案を考えた後に再度脅威分析を行い、対策の効果を確認することが望ましい。
（対策の妥当性と費用対効果が確認できる。）④ インシデントによる企業リスクの評価も行う。

13⑤ 対策を入れると守るべき資産が増えるので、再度それを入れて脅威分析をする必要がある。
3対 策 の 検対策を考えましょう

討① 対策案を羅列しておく。
② 触れる・開けられるという前提で考える。
③ 鍵管理をどこでやるか、誰の役割にするかを決める。
④ 侵入経路としてサーバ側への出口のところも検討する。
（車載機器を踏み台として外部への攻撃の事例あり。）⑤ 接続される機器やアプリソフトの正当性を確認する。
（車載 SWG での脅威分析では「なりすまし」
によるリスク値が高い。）⑥ 非正規の I/F 経由によるリスクに対する対策を検討する。
⑦ 製品のバリューとリスク内容から、開発コス
トや対策に対する運用コストも考えて、どこまで対策を講じるかを事前に決めて設計に落とし込む。
⑧ 最終製品を出すところが、全体のシステムとセキュリティの役割分担の方針を決め、下請
けは役割分担に見合う条件を設定した上で、セキュリティに関する役割を担うようにすることが必要。
⑨ 各レイヤー（物理、ネットワーク、アプリケー
ション）でできる対策案を羅列してみる。
⑩ コストや仕様の制約で十分な対策が取れな
い場合、システム全体や上位のコンポーネン
トでの対策も検討する。

4

エ ビ デ ン

エビデンスを残してス

おきましょう

① 脅威に対するリスク分析と対策の検討結果、講じた対策の有効性や選んだ理由をドキュ
メントにまとめて残しておく。
（何か起きた時に、当時の実力ではここまではやったが、これ以上のことはわかりません
でしたという、自己責任の範囲を示せる証跡を残しておく。）

14

5

設 計 の 関設計者、開発者、あ① 誓約書を書かせる。

係者

るいは外注者は、信② こういうことをやると人生棒に振るよとい

頼しない考え方でやうような研修で抑制も必要。（守秘義務の順りましょう

守を求めるだけでなく、外注者への研修もできれば行った方がよい。）③ システム全体を知る設計者の数をミニマイズする。
④ 鍵の管理をしっかり行う。（コストを考えなければ個々の鍵をユニークにする方が強く
なる。）

6

評価・検証

セキュリティの評① 最低限ファジングツールを使ったテストを

価・検証を行いましょう

するようにする。
② 評価をするのに IN HOUSE でやる場合も、
少なくとも 3rd パーティーのチェックを受けるようにした方が良い。
③ 第三者によるリスク評価やセキュリティ検証を受けるのが望ましい。

7

未 知 の 脅未知の脅威は必ず発① 考慮すべきことを書き出しておく。

威 へ の 対生するものだと考え② 侵入検知や何かおかしな挙動がわかるよう

応ておきましょうにしておくのが望ましい。
③ 異常を検出した時には、機能を停止させるな
ど適切な対応がとれるようにしておくのが望ましい。
④ ログを残し後から解析できるようにしておく。

15

運用フェーズ
運用フェーズにおけるセキュリティの取組みを以下に示す。

表 4-5 運用フェーズのセキュリティ取組み
項番
1

項目

指針

内容

取 扱 説 明必要なことはすべて取① 免責事項にしてほしいことがあれば、取扱説

書

説に書いておきましょう

明書に必ず書いておく。
② 販売するときは、こういうことを考慮した製品になっていると表示するようにする。

2

3

運 用 時 の運用時の使われ方の範① 運用時の使われ方の範囲や使用時の前提条

使 わ れ 方囲をきちんと定義して件をきちんと定義して運用者に伝える。

の定義おきましょうユ ー ザ へユーザに異常を気づい① 不審な機器が接続されている場合や、おかしの 注 意 喚てもらえるようにしまな挙動を検知した場合に、ユーザに注意をう

起

しょう

ながす表示をする等の工夫をすることが望ましい。
② 設定ミスのまま使われない工夫をすることが望ましい。
（ユーザやディーラなどの設定ミスにより、セキュリティが外れたままで使用されることの無いようにする。）

4

ア

ッ

プ

デート

後からでも対策できる① セキュアにファームウェアをアップデート

ようにしておきましょできる仕組みを講じておく。

う（信頼できるサーバからセキュアブートの鍵付きでダウンロードするのが理想。）② リモートでアップデートできる仕組みを講じておくと更に望ましい。

5

運 用 の 関関係者はすべて信用し係者ないようにしましょう① 保守用のマニュアルが流出しても大丈夫なようにしておく。
② 運用時の関係者に悪い人がいても大丈夫なようにしておく。

6

イ ン シ デインシデント情報を共① 入手したインシデント情報を社内や関係事

ン ト 情 報有し有効に活用しま

業者で共有し活用する仕組み作りも必要で

の共有

しょう

ある。

16

廃棄フェーズ
廃棄フェーズにおけるセキュリティの取組みを以下に示す。

表 4-6 廃棄フェーズのセキュリティ取組み
項番
1

項目

指針

内容

難解析化

廃棄フェーズまで考慮① 廃棄された基板を解析されても、解析しづした設計をしましょう

らい設計をしておくことが望ましい。
（ツール接続時に認証を求めるのも１つの方法。）② ソフトウェアについても簡単に解析できな
いようにしておくことが望ましい。

2

初

期

セット

リ

初期状態にもどせるよ① 初期状態にリセットできるようにしてお

うにしておきましょうく。

17

5 脅威分析について
5.1

脅威事例の収集

脅威分析を行うにあたり、車載 SWG で先行して検討を進めていた自動車関係の脅威事
例の資料を活用することとした。車載 SWG では、国内外の発表文献を調査収集し、約 230件の既知のインシデント事例を、「対象機器」、「分野固有・共通」、「脅威の分類」、「接続I/F（侵入ルート）」などのリスク特性で分類し、「攻撃のしやすさ」と「被害の影響度」の評価項目を設定して「リスク値」の評価を。表 5-1 に車載 SWG でインシデント事例を調査した文献リストを示す。

表 5-1 調査文献リスト
項番
1

調査文献

URL

2010 年 度 _自 動 車 の 情 報 セ キ ュ リ テ ィ

http://www.ipa.go.jp/files/000014119.pdf

動向に関する調査報告書, IPA
2

2011 年 度 _自 動 車 の 情 報 セ キ ュ リ テ ィhttps://www.ipa.go.jp/files/000024414.pdf

動向に関する調査, IPA
3

2011 年度自動車の情報セキュリティ動

http://www.ipa.go.jp/files/000014165.pdf

向に関する調査 付録編, IPA
42012 年 度 _自 動 車 の 情 報 セ キ ュ リ テ ィhttps://www.ipa.go.jp/files/000027274.pdf

動向に関する調査, IPA
5Security requirements for automotive

http://evita-project.org/Deliverables/EVIT

on-board networks based on dark-side

AD2.3.pdf

scenarios, EVITA
67

8

自動車－情報セキュリティ分析ガイド

http://www.bookpark.ne.jp/cm/jsae/partic_JASO TP15002,自技会

ulars.asp?content_id=JSAE-tp-15002-PDF

運転支援通信システムに関するセキュ

http://www.itsforum.gr.jp/Public/J7Datab

リティガイドライン, ITS フォーラム

ase/p41/ITS_FORUM_RC009V1_0.pdf

国内外の自動車の情報セキュリティ動https://www.ipa.go.jp/files/000014059.pdf

向と意識向上策に関する調査報告書,
IPA
9

自動車と情報家電の組込みシステムのhttp://www.ipa.go.jp/files/000013971.pdf

セキュリティ関する調査, IPA
1011

自動車のネットワーク化の将来と課題_

http://home.jeita.or.jp/page_file/20141009

つながる自動車のセキュリティ, IPA

110119_FYXUHuv50O.pdf

自動車の情報セキュリティへの取組み

https://www.ipa.go.jp/files/000027273.pdf

ガイド, IPA

18

12

車載ネットワークセキュリティの現状,

http://www.ffri.jp/assets/files/monthly_res

FFRI

earch/MR201310_Current%20state%20of%20automotive%20network%20security_J
PN.pdf13

車載組込みシステムの情報セキュリ

https://www.ipa.go.jp/files/000034668.pdf

ティ強化に関する提言, IPA

5.2

リスク特性の項目

車載 SWG で収集したインシデント事例を利用して脅威分析を行うにあたり、リスク特性の項目を見直した。当初、車載 SWG で分類に用いていた、「対象機器」、「分野固有・共通」、「脅威の分類」、「接続 I/F（侵入ルート）」の４項目に加え、IPA のつながる世界の開発指針検討 WG でリスク特性の分類に用いていた「who 誰がつなげたか」、「whom 何が危害をうけたか」、「where どこで発生したか」の 3 項目を新たに追加した。見直したリス
ク特性の項目を、表 5-2 に示す。

表 5-2 リスク特性の項目
項番

項目

内容

1

対象機器

脅威に晒されている機器。

2

分野固有・共通

表 5-3 分野固有・共通 参照。

3

脅威の分類

表 5-4 脅威の分類の事例をリストアップ。
その分類基準は以下の通り。
①利用者の操作に起因するもの。
⇒“設定ミス／ウイルス感染”②攻撃者による攻撃手段が明確なもの。
⇒“盗聴／Dos 攻撃／偽メッセージ／不正中継”③攻撃者による攻撃手段が不明確、もしくは上記に該当しないが被害を被った場合、以下に該当しているもの。
⇒“不正設定／情報漏えい／ログ喪失”
上記の①②③に該当しない場合は、“不正利用”とする。

4

接続 I/F

表 5-5 接続 I/F（侵入ルート）参照。

（侵入ルート）5

who 誰 が つ な げ

表 5-6 who 誰がつなげたか 参照。

たか6

whom 何 が 危 害

表 5-7 whom 何が危害をうけたか 参照。

をうけたか

19

where ど こ で 発7

表 5-8 where どこで発生したか 参照。

生したか

分野固有・共通
車載用だけでなく、今後 CCDS がカバーする他の重要生活機器へのツール汎用化を念頭に、本開発に関連する車分野に特化した事例を“分野固有”とし、車分野に関連するものの他の IoT 機器でも起こり得る事例を“共通”として分類を行った。
“分野固有／共通”の判別基準を、表 5-3 にまとめる。“分野固有／共通”のどちらにも該当しない場合は、個別に判断内容を記載した。

表 5-3 分野固有・共通
区分
分野固有

説明
対象が CAN や ECU の場合や、侵入ルートが DSRC や OBD の場合など、車載機器特有の機器や経路が関わっていると判断した場合は、「分野固有」。

共通

対象が車載機であっても、攻撃内容が一般的（フィッシングや Dos 攻撃）だと判断した場合は、「共通」。

脅威の分類「利用者の操作に起因する脅威」と「攻撃者による干渉に起因する脅威」の分類事例を、
表 5-4 に示す。

表 5-4 脅威の分類 [5]
脅威
設定ミス

説明
自動車内のユーザインターフェースを介して、利用者が行った操作・設定が誤っていたことによりひきおこされる脅威。
・インフォテイメント機能で意図しないサービス事業者に個人情報を送付してしまう、テレマティクスの通信の暗号機能を OFF にしてしまい通信情報が盗聴される、等

ウイルス感染利用者が外部から持ち込んだ機器や記憶媒体によって、車載システムがウイ
ルスや悪意のあるソフトウェア（マルウェア等）等に感染することによりひきおこされる脅威。
・インフォテイメント機器に感染したウイルスが車載 LAN を通じて更に他の車載器に感染、等

不正利用

なりすましや機器の脆弱性の攻撃によって、正当な権限を持たない者に自動車システムの機能を利用される脅威。

20

・解錠用の通信をなりすます事により、自動車の鍵を不正に解錠する、等
不正設定

なりすましや機器の脆弱性の攻撃によって、正当な権限を持たない者に自動車システムの設定値を不正に変更される脅威。
・ネットワーク設定を変更し、正常な通信ができないようにする、等

情報漏えい

自動車システムにおいて保護すべき情報が、許可のされていない者に入手される脅威。
・蓄積されたコンテンツや、各種サービスのユーザ情報が、機器への侵入や通信の傍受によって不正に読み取られる、等

盗聴

自動車内の車載器同士の通信や、自動車と周辺システムとの通信が盗み見られたり奪取されたりする脅威。
・ナビゲーションや渋滞予測を行うサービスのために自動車から周辺システ
ムに送付される自動車状態情報（車速、位置情報等）が途中経路で盗聴される、等DoS 攻撃不正もしくは過剰な接続要求によって、システムダウンやサービスの阻害をひきおこす脅威。
・スマートキーに過剰な通信を実施し、利用者の要求（施錠・解錠）をできなくさせる、等

偽メッセージ

攻撃者がなりすましのメッセージを送信することにより、自動車システムに不正な動作や表示を行わせる脅威。
・TPMS（タイヤ空気圧監視システム：Tire Pressure Monitoring System）のメッセージをねつ造し、実際には異常がない自動車の警告ランプをつけ
る、等

ログ喪失

操作履歴等を消去または改ざんし、後から確認できなくする脅威。
・攻撃者が自身の行った攻撃行動についてのログを改ざんし、証拠隠滅を図
る、等

不正中継

通信経路を操作し、正規の通信を乗っ取ったり、不正な通信を混入させる脅威。
・スマートキーの電波を不正に中継し、攻撃者が遠隔から自動車の鍵を解錠
する、等

21

接続 I/F（侵入ルート）
脅威が侵入する際のルートを、表 5-5 に示す。

表 5-5 接続 I/F（侵入ルート）
接続 I/F
3G/GSM

伝送距離(ネ ッ ト ワ ーク圏内)

Bluetooth

0～10m

CD

0m

DSRC

0～30m

E-コールサービスインターフェース(ネ ッ ト ワ ーク圏内)

説明
デジタル携帯電話の通信方式。
携帯情報機器などで数 m 程度の機器間接続に使われる短距離
無線通信技術。
デジタル情報を記録するための光ディスク規格の一つ。
ITS で用いられる、路側機と走行する車の車載器間の無線通信。

汎欧州自動緊急通報システム

人工衛星を利用して自分が地球上のどこにいるのかを正確に

GPS

受信範囲内

OBD

0m

RF

0～10m

スマートキーや車内通信用のワイヤレス通信。

SD0m

メモリーカードの一種。

USB

0m

割り出すシステム（Global Positioning System）。
自動車に搭載されるコンピュータ（ECU）が行う自己故障診
断機能（On-Board Diagnostics）。

カーナビなどの情報機器に周辺機器を接続するためのシリア
ルバス規格（Universal Serial Bus）。
渋 滞 や 交 通 規 制 な ど の 道 路 交 通 情 報 通 信 シ ス テ ム （ Vehicle

VICS

受信範囲内

Information and Communication System）。FM 多重放送と電波ビーコンがある。
ネットワーク接続に対応した機器を、無線（ワイヤレス）で

Wi-Fi

0～50m

センサー

0m

車内センサー

特殊機材

0m

イモビカッターや保守用の専用ツールなど。

接続する技術。

22

who 誰がつなげたか
IPA の「つながる世界の開発指針検討 WG」で検討中のリスク特性の整理方法にならい、つなげた者を、表 5-6 に示す。

表 5-6 who 誰がつなげたか [1]脅威

説明

メーカーや関連企業

メーカーが設計時に想定しているつながり。

サービス事業者

メーカーが設計時に想定していないつながり。

ユーザ（意図的）

ユーザによる意図的なつながり。

ユーザ（誤接続）

ユーザによる誤ったつながり。

攻撃者

脆弱性をついたつながり。

偶発的

色々つなげているときの偶発的なつながり。

whom 何が危害をうけたか
IPA の「つながる世界の開発指針検討 WG」で検討中のリスク特性の整理方法にならい、危害の対象を、表 5-7 に示す。

表 5-7 whom 何が危害をうけたか [1]脅威
IoT 機能説明
IoT アプリ、通信機能、セキュリティ対策のための機能など。

（通信、連携、集約等）
本来機能（サーバ、 機器やシステム本来の機能、セーフティ対策のための機能など。

GW、モノ等の機能）
情報

個人情報、決済情報、センサーデータなど。

身体や財産

ユーザの身体や財産など。

その他

自動販売機内の商品、ATM 内の現金、本体や部品など。

23

where どこで発生したか
IPA の「つながる世界の開発指針検討 WG」で検討中のリスク特性の整理方法にならい、リスク発生箇所を、表 5-8 に示す。

表 5-8 where どこで発生したか [1]脅威

説明

通常使用 I/F

ユーザ用操作パネル、サービス用有線／無線 I/F、USB 端子など。

保守用 I/F

管理者用操作盤、遠隔管理用通信 I/F、ソフトウェア更新用の USB
端子など。

非正規 I/F

ふさぎ忘れた不要ポート、製造時にのみ使用する USB 端子など。

内包リスク

故障の原因となる欠陥やバグ、攻撃の対象となる脆弱性、故障や 悪用で危害を及ぼす機能など。

物理的接触

直接、本体に接触。

24

6 リスク評価の方法
脅威事例のリスク評価を行うにあたり、自動車関係の参考文献から車載関係のリスク評価手法としてどのようなものがあるのかを調査した。

6.1

ETSIの改良方式

ETSI（European Telecommunications Standard Institute、欧州電気通信標準化協会）のリスク評価は、「発生可能性」と「影響」に分け、それぞれ 3 段階で評価した値の積で、リスク値のクラス分けを行う手法となっている[9]。ETSI の「発生可能性」と「影響」の定義を、表 6-1 に、「リスク値」のクラス分けの定義を、表 6-2 に示す

表 6-1 ETSI の発生可能性と影響の定義
項目

発生可能性

影響

値

ランク

定義
脅威に対する十分な備えがなく、攻撃者のモチベーショ

3likely2

possible1

unlikely

3high impact

ビジネスに深刻なダメージを受ける。

2

medium impact

影響があり無視することはできない。

1

low impact

ダメージを受ける可能性は低い。

ンはかなり高い。
攻撃にそれほど高い技術や努力は必要なく、攻撃者に合理的なモチベーションがあれば起こりうる。
最新の知識を用いても技術的に攻撃が難しく、攻撃者のモチベーションも低い。

表 6-2 ETSI のリスク値のクラス分け
項目

リスク値

値(積)

ランク

6,9

critical

4

major

1,2,3

minor

定義
重大なリスクが発生し最優先で対策が必要。
致命的な影響がなくてもメジャーなリスクが発生する可能性がある。
マイナーなリスクは発生するが、対策を必要とするものではない。

車載 SWG では、リスク評価をするにあたり、発生可能性や影響度だけでなく、攻撃のしやすさ（特に先行事例の有無）や攻撃者のモチベーションを加味して評価を行うのが良い と の 意 見 が 出 さ れ 、 車 載 関 係 の リ ス ク 評 価 方 法 の 参 考 文 献 を 調 べ る 中 で 、 ETSI
25

（European Telecommunications Standard Institute）の改良方式を評価手法の１つとして参考にした。[10]、[11]この評価手法では、「発生可能性」を「動機」と「技術的困難さ」に詳細化して評価する方法を採用している。「動機」と「技術的困難さ」の定義を、表 6-3 に示す。また、この改良方式では「動機」と「技術的困難さ」から「発生可能性」のランクを定義するので、この改良方式での「影響」の定義と共に、表 6-4 を示す。

表 6-3 ETSI 改良方式の動機と技術的困難さの定義
項目

ランク

動機

技術的困難さ定義

High

攻撃する人や組織にとって多くの利益（報酬等）がある。

Moderate

サービスの混乱（愉快犯等）

Low

あまり利益は得られない。

None

技術的、経済的に容易に攻撃が可能（前例あり）。

Solvable

理論的には攻撃が可能。

Strong

理論的、技術的、経済的にも攻撃が大変困難。

表 6-4 ETSI 改良方式の発生可能性と影響の定義
項目

ランク

発生可能性

影響

値

定義

Likely3

すべての要素が存在する。

Possible2

いくつかの要素が存在する。

Unlikely1

重要な要素が抜けている。

High

3

利用者やサービスに深刻な影響を与える。

Medium2

短期間のサービス停止に陥る。

Low

1

利用者やサービスに影響を与える。

「リスク値」のクラス分けは ETSI 同様に「発生可能性」と「影響」の評価値の積で行っている.「リスク値」のクラス分けの定義を、表 6-5 に示す。

表 6-5 ETSI 改良方式のリスク値のクラス分け
項目

リスク値

値(積)

ランク

定義

9,6

Critical対策は必須。

4

Major

要注意。

3,2,1

Minor

早急な対策は不要。

26

また、「動機」と「技術的困難さ」と「発生可能性」の評価値との関係と「影響」の評価値から、「リスク値」のクラス分けをマトリクス的に表したものを、表 6-6 に示す。ETSI
改良方式を用いることで、攻撃者のモチベーションを加味したリスク評価が行えるものと期待できる。

表 6-6 ETSI 改良方式のリスク値の定義
技術的
動機

困難さ

High(3)Medium(2)Low(1)NoneHigh

Solvable

Moderate

Likely(3)Critical(9,6)

None
Solvable

Low

Any

Any

Strong

6.2

影響
発生可能性

Possible(2)Major(4)

Unlikely(1)Minor(3,2,1)

CRSS方式（CVSSの応用方式） [12]CRSS (CVSS based Risk Scoring System)は、情報システム・装置に対する脆弱性評価
で 実 績 の あ る リ ス ク 評 価 手 法 で あ る 共 通 脆 弱 性 評 価 シ ス テ ム CVSS （ Common
Vulnerability Scoring System) を応用したリスク評価手法である。
CVSS は FIRST (Forum of Incident Response and Security Teams)で策定され、情報システムの脆弱性に対する評価手法としては、広く利用されている手法だが、車載システムのように脅威による影響が、人体に影響を及ぼすよう甚大なものを想定していない。CRSS
では、影響に関するパラメータの区分を、部分的→軽微、全面的→甚大とすることで、車載システムのリスク評価に対応している。
また、CRSS では CVSS の 3 つの評価基準のうち基本値を用いてリスク評価を行っている。
CRSS で用いる基本評価値のパラメータを、表 6-7 に示す。基本評価値のパラメータを用いて、以下の式から「影響度」、「攻撃容易性」を求め、「基本値」からリスク値のクラス分けを行う。リスク値のクラス分けの定義を、表 6-8 に示す。

（１）影響度＝10.41×(1－(1－C)×(1－I)×(1－A))（２）攻撃容易性＝20×AV×AC×Au（３）f(影響度)＝0(影響度が 0 の場合)、1.176(影響度が 0 以外の場合)（４）基本値＝((0.6×影響度)＋(0.4×攻撃容易性)－1.5)×f(影響度）
27

表 6-7 基本評価基準 (Base Metrics)
パラメータ

概要

AV：攻撃元区分

脆弱性のあるシステムをどこから攻撃可(Access Vector)能であるかを評価

AC：攻撃条件の複雑さ

脆弱性のあるシステムを攻撃する際に必(Access Complexity)

要な条件の複雑さを評価

Au：攻撃前の認証要否

脆弱性を攻撃するために対象システムの(Authentication)

認証が必要であるかどうかを評価

C：機密性への影響

脆弱性を攻撃された際に、対象システム(Confidentiality Impact)

内の機密情報が漏えいする可能性を評価

I：完全性への影響

脆弱性を攻撃された際に、対象システム(Integrity Impact)内の情報が改ざんされる可能性を評価

A：可用性への影響

脆弱性を攻撃された際に、対象システム(Availability Impact )内の機能が遅延・停止する可能性を評価

表 6-8 リスク値のクラス分け
脅威レベル

リスク値
（基本値）

レベルⅢ(重大)7.0～10.0

レベルⅡ(警告)

4.0～6.9

レベルⅠ(注意)

0.0～3.9

28

区分

値

ローカル

0.395

隣接

0.646

ネットワーク

1.0

高

0.35

中

0.61

低

0.71

複数

0.45

単一

0.56

不要

0.704

なし

0.0

軽微

0.275

甚大

0.660

なし

0.0

軽微

0.275

甚大

0.660

なし

0.0

軽微

0.275

甚大

0.660

6.3

RSMA方式 [12]RSMA（Risk Scoring Methodology for Automotive system）は、「リスク値」を「影響度」と「発生可能性」のリスクレベル判定表によって決定する方式である。
「 影響度」は “セーフティ”、“個人情報／プライバシ”、“財産／企業価値”の 3 種類の被害分類に分けた上でレベルを決定する。また、「発生可能性」は“所要時間”、“専門知識”、“TOE の知識”、“機会”、“機器”の 5 つのパラメータから、表発生可能性レベル判定表により大、中、小の 3段階で判定する。これらを、表 6-9、表 6-10 に示す。リスク値は「影響度」と「発生可能性」からマトリクス的に判定する。表 6-11 に判定表を示す

表 6-9 発生可能性パラメータ
パラメータ
所要時間

専門知識

TOE の知識

説明

判定基準

脆弱性を識別して悪用

現実的0するために要する時間

非現実的

19

素人

0

専門家

3

公開情報

0

ディーラ、開発・製造者が入手可能な情報

3

一部の限定された者だけが入手できる情報

7

必要な技術的専門知識

攻撃対象（TOE）に限定した知識

アクセス不必要機会

機器

0

攻撃対象（TOE）にアク

アクセス必要／無制限でアクセス可能セスする時間及び回数

アクセスが必要／回数限定

4

アクセスが必要／アクセス不可能

19

攻撃に利用するハード

市販製品（市販の HW・SW 製品など）

0

ウェア及びソフトウェ

特殊機器（ディーラが所有する製品など）

4

ア

特別注文品（開発専用の製品など）

8

表 6-10 発生可能性レベル判定表
発生可能性レベル

判定値

大

0～14

中

15～24

小

25 以上

29

表 6-11 リスクレベル判定表
発生可能性
被害分類

影響度

内容

イバシ

大

人に影響を及ぼさない

0

0

0

小

軽症

L

L

M

中

重症

L

M

H

大

生命を脅かす

M

H

H

なし

個人情報／プライバシでない

0

0

0

小

単独では、個人の特定が困難な情報

L

L

M

大

個人が特定できる情報

M

M

H

なし

財産／企業価値に影響を及ぼさない

0

0

0

小

社内への影響だけ（事業への影響：小）

L

L

M

中

お客様に影響（事業への影響：中）

L

M

H

大

お客様及び事業に影響（事業への影響：大）

M

H

H

財産／企業価値

6.4

中

なし
セーフティ

個人情報／プラ小CCDS改良方式

車載 SWG では、「リスク値」を攻撃の「難易度」とユーザへの「影響度」についてランク付けして判定する方式を用いている。評価項目については、「共通脆弱性評価システム
CVSS 概説」の情報を参考とし、初動段階において早期評価および開発を行う事を目的として、基本軸を「難易度」と「影響度」としている。
「難易度」は、攻撃の困難なものから簡単なものへ“S／A／B／C”の 4 段階とし、最も攻撃が容易な C ランクを 10 点とし、脅威度合が大きい程、点数が高くなるよう設定している。またセキュリティが無いものと１つでもあるものの点数差を 5 点差と幅を大きく取り、後は 2 点差とし、それぞれ 10／5／3／1 としている。
「影響度」は、“軽微／中程度／重大／破壊的”の 4 段階とし、影響度が最も大きい破壊
的を 10 点として同様に数値化を行っている。
数値と内容については以下の表 6-12 に記載する。

30

表 6-12 攻撃の難易度と影響度の評価値
項目

項目の定義

ランク

ランクの定義値

複数の条件（認証、特別な権限など）がS

必要、かつ、ローカルからのみ接続（攻1撃）が可能。
単一の条件（認証、特別な権限など）が攻撃するために必要な条
難易度

件（認証が必要、特別なA必要、かつ、ローカルからのみ接続（攻3撃）が可能。

権限が必要など）がある
一つ以上の条件（認証、特別な権限など）

か。
Bが必要、もしくは、ローカルからのみ接5

続（攻撃）が可能。
C

攻撃するための条件が不要、かつ、無線
ネットワークからの接続（攻撃）が可能。

10

攻撃を受けてもユーザに影響がないか、軽微

もしくは、軽微な表示異常しか発生しない。なおかつ、漏洩する情報も個人を特1定できるような情報は漏洩しない。
攻撃を受けた場合に、ユーザに不利益を影響度

攻 撃 さ れ た 場 合 の 影 響 中程度 もたらす、もしくは、漏洩した情報から個人が特定される。
度・影響範囲、二次的被害の影響度・影響範囲が3

攻撃を受けた場合に、ユーザに不利益をどの程度のものか。
重大

もたらし、二次的被害も発生、もしくは、漏洩した情報から複数の個人が特定さ5れる。
攻撃を受けた場合に、人命に関わるよう壊滅的 な被害、もしくは、二次的被害が発生す10る。

車載 SWG では、「攻撃者のモチベーション」が高いと脅威のリスクが上がる傾向がある
ので、「攻撃者のモチベーション」を加味したリスク評価を行うこととした。CCDS の方式をベースに、「攻撃者のモチベーション」を“小／中／大”の 3 段階とし、中の場合はリスク値が 1.25 倍に、大の場合はリスク値が 1.5 倍になるよう設定した。リスク値は下記の式で求める。

リスク値＝（難易度＋影響度）×攻撃者のモチベーション

31

「攻撃者のモチベーション」の定義を、表 6-13 に、また、リスク値のクラス分けの定義を、表 6-14 に示す。

表 6-13 攻撃者のモチベーションの定義
項目

攻撃者の

ランク

定義

値

小

偶発的に発生し攻撃者には何の意図もない。

1

中実験や気晴らし、自己顕示などの目的を持つ。

1.25

モチベーション
大

金銭的な利益を得たり、安全保障に影響を与えるなどの具体的な強い目的を持つ。

表 6-14 リスク値のクラス分け
リスク値

基準

Low

8 未満

Middle8 以上 12 未満

High

12 以上 17 未満

Must

17 以上

32

1.5

7 リスク評価の結果
7.1

ETSIの改良方式「リスク値」のクラス分けを最終的に「発生可能性」と「影響」の評価値の積で行っているため、リスク値が離散的で、更に中間ランクの Major は「4」の場合だけなので、他の方式に比べ Critical（ 赤色）や Minor（黄色）にばらつき易い傾向がある。表 7-1 にの改良方式でのリスク評価例を示す。
表 7-1 ETSI の改良方式でのリスク評価例
No

想定脅威

想定被害

who wher
who
分野 脅威
e
接続 誰がつ m
対象
何が危 どこで
固有 の分
なげた
機器
I/F
害をう 発生し 動機
共通 類
かけたか たか

外 部 ネ ッ ト ワ ー ク通 信 機 能 を 必 要 と
車載
1 経 由 で 車 載 ネ ッ トす る 全 サ ー ビ ス の 器
ワ ー ク に DoS 攻 撃 利 用 停 止
サーバなりすまし
車載
2 に よ る 虚 偽 メ ッ 利用者の混乱など
器
セージの送信
ブラウザのバグを
利 用 し た ス ト リ ーイ ン フ ォ テ イ ン メ
車載
3 ミ ン グ コ ン テ ン ツン ト 系 サ ー ビ ス の 器に よ る シ ス テ ム の 利用停止
フリーズ
第 三 者 に よ る 受 信運 用 管 理 機 関 の 意
車載
4 機 を 用 い た 通 信図 し な い サ ー ビ ス 器
メッセージの盗聴 への利用
第 三 者 に よ る GPS
信 号 発 生 器 の 悪 用誤 っ た 位 置 を 含 む
車載
5 による、誤った位置 メ ッ セ ー ジ 配 信 に 器を 含 む メ ッ セ ー ジ よる混乱の発生の配信
利用者による車載器 の 悪 用 や 第 三 者誤 っ た 情 報 を 含 む
車載
6 に よ る 通 信 機 の 利走 行 情 報 配 信 に よ 器
用 に よ り 他 の 車 載 る混乱
器へのなりすまし
利用者による車載器の悪用や第三者に よ る 受 信 機 の 利 個 人 の プ ロ フ ァ イ 車載
7 用 に よ り 、受 信 メ ッ リ ン グ
器セージから個人位
置のトレース
3G/LTE 回 線 か ら 第三 者 が 定 常 運 用 時 ECU が 正 常 に 動 作
8 に 故 意 に 制 御 ECU 出 来 な く な り 車 両 ECUの 制 御 機 能 を 停 止 機能が動作しないさせる
スマートフォンな
ど の Bluetooth 機 器
設定が不正に変更
車載からディーラ職員
9 が メ ン テ ナ ン ス 時さ れ て 意 図 し な い 器
性能変更がされるに車両状態情報を改ざんする
SD カ ー ド イ ン タ ー
フェースから第三者が定常運用時にインフォメーショ
故 意 に イ ン フ ォ
10 メ ー シ ョ ン ECU の ン 機 能 が 正 常 に 動 ECU
作しなくなる
インフォメーショ
ン機能の誤動作を誘発する

ETSI の 改 良 方 式
技術 発生
リス
的困 可能 影響
ク値
難さ 性

通常
DoS 3G/ 攻 撃 IoT
Mode Solva
共通
使用
攻 撃 GSM 者 機 能rate ble
I/F
ﾕｰｻﾞ
通常
偽 ﾒｯ 3G/
IoT
Mode Solva
共通
(誤 接
使用
機能
rate ble
ｾｰｼﾞ GSM
続)
I/F

2

3

6

2

2

4

ﾕｰｻﾞ
通常
偽 ﾒｯ 3G/
IoT
Mode Solva
(意 図
使用
機能
rate ble
ｾｰｼﾞ GSM
I/F
的)

2

2

4

通常
攻撃
Solva
情 報 使 用 High
者
ble
I/F

3

1

3

共通

通常
不正
攻撃 本来
Mode Solva
GPS
使用
中継
者 機能
rate ble
I/F

2

2

4

共通

ﾕｰｻﾞ
通常
不 正 3G/
Mode Solva(意 図 情 報 使 用
利 用 GSMrate ble
I/F
的)

2

2

4

情報
通常
分野
攻撃
Solva
漏 え Wi-Fi
情 報 使 用 High
固有
者
ble
い
I/F

3

1

3

通常
分 野 不 正 3G/ 攻 撃 本 来Mode Solva
使用
固 有 利 用 GSM 者 機 能rate ble
I/F

2

3

6

ｻｰﾋﾞｽ
通常
分 野 不 正 Bluet
Mode Solva
事業 情報 使用
固 有 設 定 oothrate ble
者
I/F

2

2

4

通常
攻撃 本来
Mode
使用
None
者 機能
rate
I/F

3

1

3

共通

共 通 盗 聴 Wi-Fi

分野 不正
固有 利用

SD

Critical(6,9)
Major(4)Minor(3,2,1)

33

ETSI

7.2

CRSS方式（CVSSの応用方式）

CRSS 方式では CVSS のオリジナルに比べ、車載システムのリスク評価に対応するため、「影響度」に関するパラメータ区分を、部分的→軽微、全面的→甚大としている。そのため情報処理に関する影響は軽微に区分され、車両の制御に関する影響は甚大に区分される
ので、他方式に比べ「影響度」の数値が高くでない傾向にある。結果的にリスク値もレベ
ル Ⅲ (重 大 )（ 赤 色 ） が 少 な い 。 ま た 、 同 じ 脅 威 事 例 で も 攻 撃 の ル ー ト （ 3G/GSM、 Wi-Fiなど）でリスク値が変わるのも特徴の 1 つとなっている。表 7-2 に CRSS 方式でのリスク評価例を示す。
表 7-2 CRSS 方式でのリスク評価例
No

想定脅威

想定被害

CRSS（ CVSS の 応 用 ）who wher
who
分野 脅威
e
AV
AC
Au
C
I
A
接続 誰がつ m
対象
何が危 どこで 攻撃元 攻撃条 攻撃前 攻撃 機密性 完全性 可用性 影響 リス
固有 の分
なげた
機器
容
易
I/F
害をう 発生し 区分 件の複 の認証への影 への影 への影 度
ク値
共通 類
か
性
けたか たか

1
2

3

4

5

6

外 部 ネ ッ ト ワ ー ク通 信 機 能 を 必 要 と車載
経 由 で 車 載 ネ ッ トす る 全 サ ー ビ ス の器
ワ ー ク に DoS 攻 撃 利 用 停 止
サーバなりすまし
車載に よ る 虚 偽 メ ッ 利用者の混乱など
器
セージの送信
ブラウザのバグを
利 用 し た ス ト リ ーイ ン フ ォ テ イ ン メ
車載
ミ ン グ コ ン テ ン ツン ト 系 サ ー ビ ス の器に よ る シ ス テ ム の 利用停止
フリーズ
第 三 者 に よ る 受 信運 用 管 理 機 関 の 意
車載
機 を 用 い た 通 信図 し な い サ ー ビ ス
器
メッセージの盗聴 への利用
第 三 者 に よ る GPS
信 号 発 生 器 の 悪 用誤 っ た 位 置 を 含 む
車載による、誤った位置 メ ッ セ ー ジ 配 信 に器を 含 む メ ッ セ ー ジ よる混乱の発生の配信
利用者による車載器 の 悪 用 や 第 三 者誤 っ た 情 報 を 含 む
車載に よ る 通 信 機 の 利走 行 情 報 配 信 に よ
器
用 に よ り 他 の 車 載 る混乱

器へのなりすまし
利用者による車載器の悪用や第三者に よ る 受 信 機 の 利 個 人 の プ ロ フ ァ イ 車載
7 用 に よ り 、受 信 メ ッ リ ン グ
器セージから個人位
置のトレース
3G/LTE 回 線 か ら 第三 者 が 定 常 運 用 時 ECU が 正 常 に 動 作
8 に 故 意 に 制 御 ECU 出 来 な く な り 車 両 ECUの 制 御 機 能 を 停 止 機能が動作しないさせる
スマートフォンな
ど の Bluetooth 機 器
設定が不正に変更
からディーラ職員
車載
9 が メ ン テ ナ ン ス 時さ れ て 意 図 し な い 器
性能変更がされるに車両状態情報を改ざんする
SD カ ー ド イ ン タ ー
フェースから第三者が定常運用時にインフォメーショ
故 意 に イ ン フ ォ
10 メ ー シ ョ ン ECU の ン 機 能 が 正 常 に 動 ECU
作しなくなる
インフォメーショ
ン機能の誤動作を誘発する

通常
3G/ 攻 撃 IoT
ﾈｯﾄﾜｰ
使用
GSM 者 機 能
ｸ
I/F
ﾕｰｻﾞ
通常
3G/
IoT
ﾈｯﾄﾜｰ
(誤 接
使用
GSM
機能
ｸ
I/F
続)

雑さ

要否

響

響

響

低

単 一 7.95 な し 軽 微 軽 微 4.94 5.46

低単 一 7.95 な し 軽 微 軽 微 4.94 5.46

共通

DoS
攻撃

共通

偽 ﾒｯ
ｾｰｼﾞ

共通

ﾕｰｻﾞ
通常
偽 ﾒｯ 3G/
IoT
ﾈｯﾄﾜｰ
(意 図
使用
機能
ｸ
ｾｰｼﾞ GSM
I/F
的)低

単 一 7.95 な し 軽 微 軽 微 4.94 5.46

通常
攻撃
情報 使用 隣接者
I/F

中

複 数 3.55 軽 微 な し な し 2.86 1.92

共通

通常
不正
攻撃 本来
ﾈｯﾄﾜｰ
GPS
使用
中継
者 機能
ｸ
I/F

低

な し 10.00 な し 軽 微 軽 微 4.94 6.42

共通

ﾕｰｻﾞ
通常
不 正 3G/
ﾈｯﾄﾜｰ(意 図 情 報 使 用
利 用 GSM
ｸ
I/F
的)

低

単 一 7.95 な し 軽 微 軽 微 4.94 5.46

情報
通常
分野
攻撃
漏 え Wi-Fi
情報 使用 隣接
固有
者
い
I/F

中

複 数 3.55 軽 微 軽 微 な し 4.84 3.39

通常
分 野 不 正 3G/ 攻 撃 本 来
ﾈｯﾄﾜｰ
使用
固 有 利 用 GSM 者 機 能
ｸ
I/F

中

単 一 6.83 な し 甚 大 甚 大 9.21 7.95

ｻｰﾋﾞｽ
通常
分 野 不 正 Bluet
事業 情報 使用 隣接
固 有 設 定 ooth
者
I/F

低

単 一 5.14 軽 微 軽 微 な し 4.94 4.14

通常
攻撃 本来
使 用 ﾛｰｶﾙ
者 機能
I/F

低

な し 3.95 な し 軽 微 な し 2.86 2.11

共 通 盗 聴 Wi-Fi

分野 不正
固有 利用

SD

レ ベ ル Ⅲ (重 大 )レ ベ ル Ⅱ (警 告 )レ ベ ル Ⅰ (注 意 )

34

7.3

RSMA方式「影響度」は被害分類で区分けして評価するものの、「影響度」の評価値がリスクレベル判
定表の 1 つの評価軸となっているため、ストレートにリスク値に反映される。一方、リス
クレベル判定表のもう 1 つの評価軸である「発生可能性」は、「所要時間」、「専門知識」、「TOE の知識」、「機会」、「機器」の 5 つのパラメータの評価値の合計によりレベルが決まる方式となっている。他方式に比べ評価パラメータが多く、「影響度」と「発生可能性」の評価パラメータ数のバランスに差がある。表 7-3 に RSMA 方式でのリスク評価例を示す。

表 7-3 RSMA 方式でのリスク評価例
No

想定脅威

想定被害

RSMA 方 式
who who wher
分野 脅威e
接続 誰がつ m
対象
TOE
何
が
危
ど
こ
で
固有 の分
被害 影響 所要 専門
発生可 リス
機器
I/F な げ た 害 を う 発 生 し 分 類 度 時 間 知 識 の 知 機 会 機 器 能 性 ク 値
共通 類か識
けたか たか

外 部 ネ ッ ト ワ ー ク通 信 機 能 を 必 要 と
通常 財産・
車載
DoS 3G/ 攻 撃 IoT
1 経 由 で 車 載 ネ ッ ト す る 全 サ ー ビ ス の 器 共 通 攻 撃 GSM 者 機 能 使 用 企 業 価
ワ ー ク に DoS 攻 撃 利 用 停 止
I/F
値
サーバなりすましﾕｰｻﾞ
通常 財産・
車載
偽 ﾒｯ 3G/
IoT
2 に よ る 虚 偽 メ ッ 利用者の混乱など
共通(誤 接
使用 企業価機能器
ｾｰｼﾞ GSM
セージの送信I/F
続)
値
ブラウザのバグを
利 用 し た ス ト リ ーイ ン フ ォ テ イ ン メ
ﾕｰｻﾞ
通常 財産・
車載
偽 ﾒｯ 3G/IoT
3 ミ ン グ コ ン テ ン ツ ン ト 系 サ ー ビ ス の 器 共 通 ｾｰｼﾞ GSM (意 図 機 能 使 用 企 業 価に よ る シ ス テ ム の 利用停止
的)
I/F
値
フリーズ
第 三 者 に よ る 受 信運 用 管 理 機 関 の 意
通常 個人情車載
攻撃
4 機 を 用 い た 通 信 図 し な い サ ー ビ ス 器 共 通 盗 聴 Wi-Fi 者 情 報 使 用 報 ・ ﾌﾟ
メッセージの盗聴 への利用
I/F ﾗｲﾊﾞｼ
第 三 者 に よ る GPS
信 号 発 生 器 の 悪 用誤 っ た 位 置 を 含 む
車載
5 による、誤った位置 メ ッ セ ー ジ 配 信 に 器を 含 む メ ッ セ ー ジ よる混乱の発生の配信
利用者による車載器 の 悪 用 や 第 三 者誤 っ た 情 報 を 含 む
車載
6 に よ る 通 信 機 の 利走 行 情 報 配 信 に よ 器
用 に よ り 他 の 車 載 る混乱
器へのなりすまし
利用者による車載器の悪用や第三者に よ る 受 信 機 の 利 個 人 の プ ロ フ ァ イ 車載
7 用 に よ り 、受 信 メ ッ リ ン グ
器セージから個人位
置のトレース
3G/LTE 回 線 か ら 第三 者 が 定 常 運 用 時 ECU が 正 常 に 動 作
8 に 故 意 に 制 御 ECU 出 来 な く な り 車 両 ECUの 制 御 機 能 を 停 止 機能が動作しないさせる
スマートフォンな
ど の Bluetooth 機 器
設定が不正に変更
からディーラ職員
車載
9 が メ ン テ ナ ン ス 時さ れ て 意 図 し な い 器
性能変更がされるに車両状態情報を改ざんする
SD カ ー ド イ ン タ ー
フェースから第三者が定常運用時にインフォメーショ
故 意 に イ ン フ ォ
10 メ ー シ ョ ン ECU の ン 機 能 が 正 常 に 動 ECU
作しなくなる
インフォメーショ
ン機能の誤動作を
誘発する

中

中

一 部 ｱｸｾｽ不現実 専門
市販の限 必要・
的家
製品
定者 無制限一 部 ｱｸｾｽ不 特 別
現実 専門の限 必要・ 注文
的家
定者 無制限 品

大

H

中

M

中

一 部 ｱｸｾｽ不 特 別
現実 専門の限 必要・ 注文
的家
定者 無制限 品

中

M

小

ﾃﾞｨｰﾗ
特別
現 実 専 門 開 発 ｱｸｾｽ回
注文
的家 製造 数限定
品
者

中

L

共通

通常 財産・
不正攻撃 本来
GPS
使用 企業価
中継
者 機能
I/F
値

中

現 実 専 門 公 開 ｱｸｾｽ回 市 販
的家 情報 数限定 製品

大

H

共通

ﾕｰｻﾞ
通常 財産・
不 正 3G/(意 図 情 報 使 用 企 業 価
利 用 GSM
I/F
値
的)

中

一部
特別
現実 専門
ｱｸｾｽ回
の限
注文
的
家
数限定
定者
品

中

M

情報
通常 個人情分野
攻撃
漏 え Wi-Fi
情 報 使 用 報 ・ ﾌﾟ
固有者いI/F ﾗｲﾊﾞｼ

小

一部
特別
現実 専門
ｱｸｾｽ回
の限
注文
的
家
数限定
定者
品

中

L

通常 セー
分 野 不 正 3G/ 攻 撃 本 来
使用 フ
固 有 利 用 GSM 者 機 能I/F テ ィ

大

ﾃﾞｨｰﾗ
ｱｸｾｽ不
現実 専門 開発
特殊
必要・
的
家 製造
機器
無制限
者

大

H

ｻｰﾋﾞｽ
通常 財産・
分 野 不 正 Bluet
事業 情報 使用 企業価
固 有 設 定 ooth
者
I/F
値

小

ﾃﾞｨｰﾗ
ｱｸｾｽ
現実 専門 開発
特殊
回数
的
家 製造
機器
限定
者

大

M

通常 財産・
攻撃 本来
使用 企業価
者 機能
I/F
値

小

ﾃﾞｨｰﾗ
ｱｸｾｽ
現実 専門 開発
特殊
不可
的
家 製造
機器
能
者

小

L

分野 不正
固有 利用

SD

35

7.4

CCDS改良方式

基本的な評価項目を「難易度」と「影響度」の２つとしているため、簡便にリスク評価をすることができる。また、他方式に比べ、リスク値のランクを４段階としているため、上下にばらつきが大きくでることや、中心化する傾向も緩和されている。攻撃者のモチベー
ションをリスク値に反映させる工夫もおこなっている。独自方式のため、リスク評価結果の妥当性に懸念があったが、他の 3 方式と同じ脅威事例を用いてリスク評価を行った結果、方式毎に若干の差はあるものの、同じ傾向を示した。表 7-4 に CCDS 改良方式でのリスク評価例を示す。

表 7-4 CCDS 改良方式でのリスク評価例
No

想定脅威

想定被害

who
CCDS 改 良 方 式
who
where
分野 脅威
接続 誰がつ m どこで
対象
攻撃者
何
が
危
固有 の分
難易 影響
リス
機器
の ﾓﾁ
I/F な げ た 害 を う 発 生 し 度
度
ク値
共通 類
か
たか
ﾍﾞｰｼｮﾝ
けたか

外 部 ネ ッ ト ワ ー ク 経 由 で 車 載 通信機能を必要とする全サー 車載
DoS 3G/ 攻 撃 IoT
共通
1 ネ ッ ト ワ ー ク に DoS 攻 撃
ビスの利用停止器
攻 撃 GSM 者 機 能
2サーバなりすましによる虚偽
利用者の混乱など
メッセージの送信

ﾕｰｻﾞ
車載
偽 ﾒｯ 3G/
IoT
共通
(誤 接
器
ｾｰｼﾞ GSM
機能
続)ブラウザのバグを利用したス
ﾕｰｻﾞ
インフォテインメント系サー 車載
偽 ﾒｯ 3G/
IoT
共通
(意 図
3 ト リ ー ミ ン グ コ ン テ ン ツ に よ ビスの利用停止
器
ｾｰｼﾞ GSM
機能るシステムのフリーズ
的)第 三 者 に よ る 受 信 機 を 用 い た 運 用 管 理 機 関 の 意 図 し な い 車載
攻撃
共 通 盗 聴 Wi-Fi
情報
4 通信メッセージの盗聴サービスへの利用
器者
第 三 者 に よ る GPS 信 号 発 生 器
誤った位置を含むメッセージ 車載
5 の 悪 用 に よ る 、 誤 っ た 位 置 を 配信による混乱の発生
器含むメッセージの配信
利用者による車載器の悪用や第 三 者 に よ る 通 信 機 の 利 用 に 誤った情報を含む走行情報配 車載
6 よ り 他 の 車 載 器 へ の な り す ま 信による混乱
器
し利用者による車載器の悪用や第三者による受信機の利用に
車載
7 よ り 、 受 信 メ ッ セ ー ジ か ら 個 個人のプロファイリング
器
人位置のトレース
3G/LTE 回 線 か ら 第 三 者 が 定
ECU が 正 常 に 動 作 出 来 な く
ECU
8 常 運 用 時 に 故 意 に 制 御 ECU の な り 車 両 機 能 が 動 作 し な い
制御機能を停止させる。
ス マ ー ト フ ォ ン な ど のBluetooth 機 器 か ら デ ィ ー ラ 設 定 が 不 正 に 変 更 さ れ て 意 図 車 載
9 職 員 が メ ン テ ナ ン ス 時 に 車 両 しない性能変更がされる
器
状態情報を改ざんする。
SD カ ー ド イ ン タ ー フ ェ ー ス
から第三者が定常運用時に故インフォメーション機能が正ECU
10 意 に イ ン フ ォ メ ー シ ョ ン ECU 常 に 動 作 し な く な るのインフォメーション機能の誤動作を誘発する。

通常
使用
I/F
通常
使用
I/F
通常
使用
I/F
通常
使用
I/F
通常
使用
I/F

C

重大

中

Must

C

中程
度

中

High

C

中程
度

中

High

B

軽微

中

Low

B

中程
度

中

Middl
e

共通

不正
攻撃 本来
GPS
中継
者 機能

共通

ﾕｰｻﾞ
不 正 3G/(意 図 情 報
利 用 GSM

通常
使用
I/F

B

中程
度

中

Middl
e

情報
分野
攻撃
漏 え Wi-Fi
情報
固有
者
い

通常
使用
I/F

B

軽微

中

Low

分 野 不 正 3G/ 攻 撃 本 来
固 有 利 用 GSM 者 機 能

通常
使用
I/F

B

壊滅
的

大

Must

ｻｰﾋﾞｽ
分 野 不 正 Bluet
事業 情報
固 有 設 定 ooth
者

通常
使用
I/F

C

中程
度

中

High

分野 不正
固有 利用

通常
使用
I/F

B

中程
度

中

Middl
e

的)

SD

攻撃 本来
者 機能

Must
High
MiddleLow

36

8 リスク評価の傾向分析
リストアップした脅威事例のリスク評価結果を用いて、「 分野固有・共通」、「 脅威の分類」、「 接 続 I/F（ 侵 入 ル ー ト ）」、「 who「where誰 が つ な げ た か 」、「 whom

何 が 危 害 を 受 け た か 」、どこで発生したか」の 6 つのリスク特性について項目別の傾向分析を行った。

リスク評価の傾向分析は、リストアップした約 230 件の既知のインシデント事例に対しリスク分析が完了していたことから、CCDS 改良方式のリスク評価の結果を用いて分析を行った。6 つのリスク特性について、それぞれの区分項目毎に Must、High、Middle、Lowの件数をカウントすると共に、“リスク値平均”と、それぞれの区分毎の合計件数のうちMust と High の件数の割合を“M&H 比率”として数値化した。これらの数値から区分項
目毎のリスク傾向を分析した。

8.1

分野固有・共通の傾向分析

表 8-1 に分野固有・共通の傾向分析を示す。
「分野固有」と「共通」の“M&H 比率”に大差はないが、最上位のリスクレベルである“Must”だけの比率で比較すると 46.0%と24.6%となり、車両の制御に関する影響など車分野に特化した脅威事例を扱う「分野固有」の方が、他の IoT 機器でも起こり得る情報処理に関する事例の多い「共通」に比べると“Must”の比率がはるかに多い。「分野固有」の方がより甚大な影響を与える脅威事例が多いことがわかる。
他の重要生活機器を含めた各分野共通のセキュリティガイドラインやセキュリティ検証
基盤を整備していくことは重要なことだが、今後、より甚大な影響を与える脅威に対処していくためには、分野毎のガイドライン策定や分野毎のセキュリティ検証基盤の整備についても、平行してすすめていく必要があると考える。

表 8-1 分野固有・共通の傾向分析
リスク

M&H

Must

値平均

比率

比率

174

17.0

71.3%

46.0%

57

14.5

70.2%

24.6%

Must

High

Middle

Low

件数計

分野固有

80

44

38

12

共通

14

26

13

4

区分

37

8.2

脅威の分類の傾向分析

表 8-2 に脅威の分類の傾向分析を示す。脅威の分類の 10 項目の中で、“M&H 比率”が高い項目は「不正利用」と「偽メッセージ」であった。表 5-4 に示したように、「不正利用」は、なりすましや機器の脆弱性の攻撃によって、正当な権限を持たない者に自動車システムの機能を利用される脅威であり、「 偽メッセージ」は、攻撃者がなりすましのメッセー
ジを送信することにより、自動車システムに不正な動作や表示を行わせる脅威である。どちらの項目も、なりすましを利用した攻撃であることを考えると、自動車システムの運用フェーズにおいて、なりすましに対する対策の必要性をガイドラインに盛り込み考慮すべきと考える。
また、「設定ミス」は“M&H 比率”は低いが、ユーザの設定ミスが原因でセキュリティが外れた状態のまま知らずに使っている場合があり、セキュリティ上、何でもありの状態となり、大きな脅威につながる可能性があるので注意が必要である。

表 8-2 脅威の分類の傾向分析
リスク

M&H

値平均

比率

4

14.8

50.0%

0

29

17.3

72.4%

10

2

63

18.1

81.0%

8

2

2

15

14.4

73.3%

0

1

1

6

8

7.2

12.5%

盗聴

3

3

2

2

10

13.2

60.0%

DoS 攻撃

21

12

18

3

54

15.1

61.1%

偽メッセージ

17

16

3

0

36

19.7

91.7%

ログ喪失

0

0

0

1

1

7.5

0.0%

不正中継

1

5

5

0

11

12.5

54.5%

Must

High

Middle

Low

件数計

設定ミス

2

0

2

0

ウイルス感染

14

7

8

不正利用

33

18

不正設定

3

情報漏えい

区分

38

8.3

接続I/F（侵入ルート）の傾向分析

表 8-3 に接続 I/F（侵入ルート）の傾向分析を示す。一般的に「OBD」は、ここから攻撃されると弱いと考えられているが、他の侵入ルートより“M&H 比率”が低く出た。これは傾向分析に用いた CCDS 改良方式のリスク評価では、CVSS 方式を参考にした「難易度」の評価を行っているため、ローカルからの攻撃は無線ネットワークからの攻撃よりも「難易度」が高くなり、リスク値が低くでる傾向があるためと考えられる。
一方、遠隔操作できる「3G/GSM」や「Wi-Fi」も一般的にリスク値が高く出ると予想していたが、他の侵入ルートより“M&H 比率”が低く出た。これは車載器を対象とした情報処理に関する脅威事例が多く、「影響度」が“中程度”から“軽微”となり、リスク値が低く出る事例が多かったためと考えられる。

表 8-3 接続 I/F（侵入ルート）の傾向分析
リスク

M&H

値平均

比率

47

16.4

68.1%

0

12

18.4

83.3%

0

0

3

20.8

100.0%

3

0

0

3

15.4

100.0%

1

2

0

0

3

16.3

100.0%

GPS

4

4

1

0

9

17.4

88.9%

OBD

25

8

11

4

48

16.4

68.8%

RF

13

11

2

2

28

18.3

85.7%

SD

2

0

3

0

5

16.0

40.0%

USB

2

3

4

0

9

14.3

55.6%

VICS

0

3

0

0

3

15.4

100.0%

Wi-Fi

12

11

12

2

37

15.5

62.2%

センサー

2

0

0

0

2

18.8

100.0%

特殊機材

6

5

4

5

20

12.9

55.0%

Must

High

MiddleLow

件数計

3G/GSM

17

15

12

3

Bluetooth

7

3

2

CD

1

2

DSRC

0

区分

E- コ ー ル サ ー ビ ス イ ン タ ー
フェース

39

8.4

who 誰がつなげたかの傾向分析

表 8-4 に who 誰がつなげたかの傾向分析を示す。「サービス事業者」の“M&H 比率”
が他よりも高めに出ているが、「サービス事業者」はメーカーが設計時に想定していないつながりのため、もともと脅威事例のユースケースを考えていないし、リスクを想定していない。このためリスク値が高めに出ていると考えられる。

表 8-4 who 誰がつなげたかの傾向分析
リスク

M&H

値平均

比率

0

－

－

1

6

11.5

83.3%

12

0

22

12.5

45.5%

2

2

0

6

15.3

66.7%

92

53

37

15

197

17.0

73.6%

0

0

0

0

0

－

－

Must

High

MiddleLow

件数計

メーカーや関連企業

0

0

0

0

サービス事業者

0

50

ユーザ（意図的）

0

10

ユーザ（誤接続）

2

攻撃者
偶発的

区分

8.5

whom 何が危害をうけたかの傾向分析

表 8-5 に whom 何が危害をうけたかの傾向分析を示す。「IoT 機能」の“M&H 比率”
が他よりも高めに出ているが、この攻撃の特徴は無線ネットワークからの攻撃の場合が多く、「難易度」が低く出るために、リスク値が高めとなる傾向があることである。自動車システムの場合、個人情報や決済情報といった「情報」に危害を与えることよりも、攻撃者は無線ネットワークからの攻撃により、まず「IoT 機能」を不正利用することや乗っ取ることで、ここを足がかりに遠隔操作し、よりリスクの高い脅威を仕掛けてくる可能性が考えられる。今後ますます自動車システムが、他の IoT 機器との接続や連携して動作するよ
うな世の中になっていくことを考えると、これらの脅威への対応は必須であると考えられる。

40

表 8-5 whom 何が危害をうけたかの傾向分析
リスク

M&H

値平均

比率

32

15.4

87.5%

4

134

17.8

73.9%

19

10

65

13.7

55.4%

0

0

0

0

－

－

3

0

0

1

19.5

100.0%

Must

High

Middle

Low

件数計

5

23

2

2

74

25

31

情報

14

19

身体や財産

0

その他

1

区分
IoT 機能（通信、連携、集約等）
本来機能 （サーバ、GW、モノ等の機能）8.6

where どこで発生したかの傾向分析

表 8-6 に where どこで発生したかの傾向分析を示す。「通常使用 I/F」と「保守用 I/F」の“M&H 比率”に大差はないが、最上位のリスクレベルである“Must”だけの比率で比較すると 37.2%と 55.8%となり、「保守用 I/F」の“Must”の比率の方が多い。管理者が操作やソフトウェアの更新に使用する「保守用 I/F」や「非正規 I/F」は、隠されているし公表されていないので攻撃に使われないと想定していると、プロはそこから侵入してくるので、注意する必要がある。

表 8-6 where どこで発生したかの傾向分析
リスク

M&H

Must

値平均

比率

比率

156

16.7

72.4%

37.2%

4

52

16.6

71.2%

55.8%

3

4

19

13.0

63.2%

26.3%

0

0

0

0

－

－

－

0

1

1

3

13.8

33.3%

33.3%

Must

High

MiddleLow

件数計

通常使用 I/F

58

55

36

7

保守用 I/F

29

811

非正規 I/F

5

7

内包リスク

0

物理的接触

1

区分

41

9 まとめ
本書は車載器分野を対象としたセキュリティガイドラインとして作成したが、想定される脅威やライフサイクルにおけるセキュリティの取組みなど、他の分野でも応用できるところがあると考えられる。様々な製品の開発プロセスにおいてセキュリティ対策を考慮す
るにあたり、本ガイドラインを積極的に活用して欲しい。
今後、IoT（Internet of Things）の普及とともに、今までスタンドアロンで機能していた身の回りにある生活機器が、様々な接続機能を持つことで便利になる一方で、これらの機器に対する攻撃が益々増加してくるものと予想される。特に車載システムへの攻撃事例の報告は近年増加傾向にあり、メディアに大きく取り上げられ紹介されることも多く、車のセキュリティに対する関心が急速に高まっている。これらの新しいユースケースや脅威に対応し、セキュリティを考慮した設計・開発を進めていくためには、引き続き下記の見直しをはかる必要があると考えられる。
① 脅威事例のアップデートを行い、脅威分析や対策の検討に反映させる。
② 新しいユースケースに対応したシステムを想定し脅威分析を行うことで、要求仕様と対策を検討する。
また、脅威事例のリスク評価やリスク特性毎の傾向分析から、攻撃者は車内持ち込み機
器や、外部ネットワークとの接続部分から侵入し、なりすましなどで乗っ取りを試み、これを足がかりにしてよりリスクの高い脅威を仕掛けてくる可能性があることがわかった。
CCDS では分野別セキュリティガイドラインの策定と合わせ、セキュリティ検証基盤形成事業の中で、各社が IoT 機器のセキュリティ評価・検証ツールの開発を進めている。車載器分野でも２種類の評価・検証ツールを開発している。ぜひ、これらの評価・検証ツールを用いて、脅威の侵入口となる可能性の高い車載器とのインターフェース部分から、手始めに検査してみることを強くお勧めする。
最後に本書をまとめるにあたり、車載 SWG のメンバーに多大なるご支援をいただき、謝意を表したい。

42

10 「つながる世界の開発指針」と本書との関係
2016 年 3 月に IPA（独立行政法人情報処理推進機構）から「つながる世界の開発指針」
がリリースされた [1]。この指針は、IoT 機器やシステムを開発するメーカーに向けて、
従前の安全基準対応だけでなく、セキュリティ対応にも目を向けた開発を実施してもらう
ため、基本的な実施すべき項目をセキュリティガイドラインとして策定したものである。
CCDS からも４名の委員が参加し策定に協力した。本書と「つながる世界の開発指針」の策定は、相互に検討状況を共有しながら同時期に進められてきたこともあり、「つながる世界の開発指針」が分野を特定しない IoT に関する業界横断的な指針とすると、本書はそれを受けて策定された車載システムの個別分野に関する指針という位置づけとなる。
「 つながる世界の開発指針」と本書との対応について表 10-1 と表 10-2 に示す。相互に参照し利用いただきたい。

表 10-1 「つながる世界の開発指針」と本書の対応表 1「つながる世界の開発指針」
大項目

つながる世界の方針

指針

本書での対応箇所
章番号

指針1 安全安心の基本方針を策定する

4.2.1

指針2 安全安心のための体制・⼈材を⾒直す

4.2.1

安全安心に企業として取り組む

指針3 内部不正やミスに備える概要
1項に企業としての基本方針への取り組み内容①〜③を記載。
2項に企業として取り組むための体制について内容①〜⑤を記載。3項に⼈材育成に必要な教育について内容①〜③を記載。

4.2.1

3項に内部不正に対する教育として内容③を記載。

4.2.2

5項に関係者の不正防⽌対応について内容①〜④を記載。

4.2.3

3項②や5項①に設定ミスやマニュアル流出に対する注意を記載。

8.2

脅威の分類の傾向分析で、設定ミスに対する注意喚起を記載。
脅威分析を⾏う際のリスク特性にIPAの整理方法にならい

指針4 守るべきものを特定する

5.2「whom 何が危害をうけたか」を採用し、守るべきものを明確

7.1〜7.4

守るべきものを特定したうえで脅威事例のリスク評価を実践。

化。

8.5
2.2

何が危害を受けたかのリスク特性について傾向分析を⾏った結果を記載。
図2.3に検討のシステムモデルを記載し⾞載システムの接続箇所を明確化。
1項でつながるリスクを想定するための内容①〜⑤を記載。

4.2.2

3項の対策の検討で③鍵管理、⑥非正規I/Fを検討項目の内容として記載。

つながる世界の分析

脅威分析を⾏う際のリスク特性にIPAの整理方法にならい「who指針5 つながることによるリスクを想定する

5.2

リスクを認識す

誰がつなげたのか」「where どこで発生したか」を採用し、つな
げた者やつながることによるリスク発生箇所を明確化。

る

7.1〜7.4
8.4、8.6

つなげた者やリスク発生箇所を特定したうえで脅威事例のリスク評価を実践。
つなげた者やリスク発生箇所のリスク特性について傾向分析を⾏った結果を記載。
脅威分析を⾏う際のリスク特性の中で脅威の分類を⽰し、つなが5.2

りで波及するリスクとして「ウィルス感染」「不正利用」「DoS

7.1〜7.4

脅威の分類を明確にしたうえで脅威事例のリスク評価を実践。

8.2

脅威の分類のリスク特性について傾向分析を⾏った結果を記載。

3.2

図3-1に⾃動⾞に対する遠隔からの攻撃事例を記載。

4.2.4

1、2項に廃棄フェーズでの取組み内容として記載。

指針6 つながりで波及するリスクを想定する攻撃」などの脅威分類を掲⽰。

指針7 物理的なリスクを認識する

8.5、8.643

遠隔操作や保守用I/F・非正規I/Fからの攻撃に対する注意喚起を記載。

表 10-2 「つながる世界の開発指針」と本書の対応表 2「つながる世界の開発指針」
大項目

指針

本書での対応箇所
章番号

指針8 個々でも全体でも守れる設計をする

4.2.2
5.2
7.1〜7.4
8.2
8.6

指針9 つながる相手に迷惑をかけない設計をす

4.2.2

る
守るべきものを設計

4.2.2

守る設計を考え

指針10 安全安心を実現する設計の整合性をと

る

る

概要
3項の対策の検討の⑨⑩に記載。
「where どこで発生したか」の中で外部インターフェース経由のリスク、内包リスク、物理的接触によるリスクを記載。
リスク発生箇所を特定したうえで脅威事例のリスク評価を実践。
脅威の分類の傾向分析でなりすましに対する対策の必要性を記載。
どこで発生したかの傾向分析で保守用I/F・非正規I/Fからの攻撃に対する注意喚起を記載。
7項に未知の脅威への対応として内容①〜④を記載。
2項の脅威分析と4項のエビデンスに対応の内容を記載。
脅威分析のやり方とリスク評価について、4つの手法を用いて評

5章〜7章

価事例を記載。4.2.2 2項①で複数の評価手法での分析を推奨したり、2項③で対策後の再評価に活用するため記載。
3項の対策の検討の⑤に記載。ただし正当性の確認だけで、つな

指針11 不特定の相手とつなげられても安全安4.2.2

心を確保できる設計をするがる相手やつながる状況によるつながり方の対応までは言及して
いない。

4.2.2

6項に評価・検証として内容①〜③を記載。
脅威分析を⾏う際のリスク特性にIPAの整理方法にならい「who指針12 安全安心を実現する設計の検証・評価
を⾏う

誰がつなげたのか」「whom 何が危害をうけたか」「where ど
5章〜7章

こで発生したか」を加え、守るべきもの、つながり方、リスク箇所等を明確にした上でリスク評価し、リスク度に応じた対策の検討の必要性を記載。

市場に出た後も保守守る設計を考える

指針13 ⾃身がどのような状態かを把握し、記録する機能を設ける
指針14 時間が経っても安全安心を維持する機
能を設ける

する
運用

守る

7項④にログについての内容を記載。

4.2.3

4項にアップデートとして内容①〜②を記載。

4.2.3

指針15 出荷後もIoTリスクを把握し、情報発信
関係者と⼀緒に4.2.2

9章

指針16 出荷後の関係事業者に守ってもらいた

4.2.3

いことを伝える指針17 つながることによるリスクを⼀般利用

4.2.3

者に知ってもらう

44

6項にインシデント情報の共有として内容を記載。
今後の課題として脅威事例のアップデートと新しいユースケースに対応した脅威分析の継続の必要性を記載。
2項に運用時の使われ方の定義として内容を記載。
1項に取扱説明書としてユーザーに守ってほしい内容①〜②を記
3項にユーザーへの注意喚起として内容①〜②を記載。

11 「自動車の情報セキュリティへの取組みガイド」と本書との関係
本書を策定するにあたり、IPA（独立行政法人 情報処理推進機構）から 2013 年 3 月に発行された「自動車の情報セキュリティへの取組みガイド」[5]を参照した。「自動車の情報セキュリティへの取組みガイド」と本書との対応について表 11-1 に示す。前章の「つながる世界の開発指針」と本書との対応と合わせ、相互に参照し利用いただきたい。

表 11-1 「自動車の情報セキュリティへの取組みガイド」と本書の対応表「⾃動⾞の情報セキュリティへの取組みガイド」
章

章題

1 はじめに

2

⾃動⾞システムとセキュリティ

⾃動⾞システム
3

におけるセキュリティへの取組み4

セキュリティへの取組みの詳細

章番号

本書での対応箇所

内容

章番号

1.1.

⾃動⾞セキュリティの現状と課題

1.1

1.2.

本書のねらい

1と1.2

2.1.

⾃動⾞システムのモデル

2.1と1.2 2.1 対象のモデルと2.2 検討対象のシステムモデルに記載。

2.2.

⾃動⾞システムにおいて想定される 3.1〜3.3 想定されるセキュリティ上の脅威を記載。
セキュリティ上の脅威

2.3.

脅威に対するセキュリティ対策－

対策の具体的内容については本書では記載していない。

2.4.

機能・脅威・対策技術のマッピング－対策の具体的内容については本書では記載していない。

3.1.

⾃動⾞システムのライフサイクル

4,1

⾃動⾞システムのライフスタイルを引用し記載。

3.2.

セキュリティの取組みレベルと－フェーズ毎の取組み方針については本書では記載していない。

4.1.

フェーズ毎の取組み方針

概要
⾞載器のセキュリティの現状と課題
1 はじめにに本書のねらいと1.2章に本書の対象者を記載。

マネジメントにおける取組み

4.2.1

方針フェーズの取組みを記載。

4.2.

企画フェーズにおける取組み

4.2.2

企画・開発フェーズの取組みを記載。

4.3.

開発フェーズにおける取組み

4.2.2

企画・開発フェーズの取組みを記載。

4.4.

運用フェーズにおける取組み

4.2.3

運用フェーズの取組みを記載。

4.5.

廃棄フェーズにおける取組み

4.2.4

廃棄フェーズの取組みを記載。

45

12 「IoT セキュリティガイドライン」と本書との関係
経済産業省及び総務省では、IoT を活用した革新的なビジネスモデルを創出していくとともに、国民が安全で安心して暮らせる社会を実現するために、必要な取組等について検討を行うことを目的として、「IoT 推進コンソーシアム

IoT セキュリティワーキングル

ループ」を開催し、同ワーキンググループにおいて「IoT セキュリティガイドライン ver1.0」を策定し 2016 年 7 月リリースされた [13]。この「IoT セキュリティガイドライン ver1.0」
は、前出の「つながる世界の開発指針」を基に策定された経緯も有り、「IoT セキュリティ
ガイドライン ver1.0」と本書との対応についても表 11-1 に示すこととする。10 章の「つながる世界の開発指針」と本書との対応と合わせ、相互に参照し利用いただきたい。

表 12-1 「IoT セキュリティガイドライン ver1.0」と本書の対応表「IoTセキュリティガイドライン」
大項目

指針

要点

本書での対応箇所
章番号
4.2.1

要点1. 経営者がIoT セキュリティにコミットす
指針１
方針

る

4.2.1

IoT の性質を考慮した基本方針を定める

要点2. 内部不正やミスに備える概要
1項に企業としての基本方針への取り組み内容①〜③を記載。
2項に企業として取り組むための体制について内容①〜⑤を記載。3項に⼈材育成に必要な教育について内容①〜③を記載。

4.2.1

3項に内部不正に対する教育として内容③を記載。

4.2.2

5項に関係者の不正防⽌対応について内容①〜④を記載。

4.2.3

3項②や5項①に設定ミスやマニュアル流出に対する注意を記載。

8.2

脅威の分類の傾向分析で、設定ミスに対する注意喚起を記載。
脅威分析を⾏う際のリスク特性にIPAの整理方法にならい

5.2
要点3. 守るべきものを特定する「whom 何が危害をうけたか」を採用し、守るべきものを明確化。

7.1〜7.4
8.5
2.2

守るべきものを特定したうえで脅威事例のリスク評価を実践。
何が危害を受けたかのリスク特性について傾向分析を⾏った結果を記載。
図2.3に検討のシステムモデルを記載し⾞載システムの接続箇所を明確化。
1項でつながるリスクを想定するための内容①〜⑤を記載。

4.2.2

3項の対策の検討で③鍵管理、⑥非正規I/Fを検討項目の内容として記載。
脅威分析を⾏う際のリスク特性にIPAの整理方法にならい「who要点4. つながることによるリスクを想定する

5.2

誰がつなげたのか」「where どこで発生したか」を採用し、つな
げた者やつながることによるリスク発生箇所を明確化。

指針２
分析

7.1〜7.4

IoT のリスクを認識する

8.4、8.6

つなげた者やリスク発生箇所を特定したうえで脅威事例のリスク評価を実践。
つなげた者やリスク発生箇所のリスク特性について傾向分析を⾏った結果を記載。
脅威分析を⾏う際のリスク特性の中で脅威の分類を⽰し、つなが5.2
要点5. つながりで波及するリスクを想定するりで波及するリスクとして「ウィルス感染」「不正利用」「DoS攻撃」などの脅威分類を掲⽰。

7.1〜7.4

脅威の分類を明確にしたうえで脅威事例のリスク評価を実践。

8.2

脅威の分類のリスク特性について傾向分析を⾏った結果を記載。

3.2

図3-1に⾃動⾞に対する遠隔からの攻撃事例を記載。

4.2.4

要点6. 物理的なリスクを認識する

8.5、8.6
4.2.3
要点7. 過去の事例に学ぶ
5.1、8章46

1、2項に廃棄フェーズでの取組み内容として記載。
遠隔操作や保守用I/F・非正規I/Fからの攻撃に対する注意喚起を記載。
6項にインシデント情報を社内や関係事業者で共有し活用する仕組み作りの必要性を記載。
国内外の発表文献を調査収集した約230件の既知のインシデント
事例を用い、リスク評価の傾向分析結果を記載。

「IoTセキュリティガイドライン」
大項目

本書での対応箇所

指針

章番号
4.2.2
5.2
7.1〜7.4

要点8. 個々でも全体でも守れる設計をする

8.2
8.6
要点9. つながる相手に迷惑をかけない設計をす
指針３
設計

守るべきものを守る設計を考え
る

4.2.2

る

4.2.2
要点10. 安全安心を実現する設計の整合性をとる

概要
3項の対策の検討の⑨⑩に記載。
「where どこで発生したか」の中で外部インターフェース経由のリスク、内包リスク、物理的接触によるリスクを記載。
リスク発生箇所を特定したうえで脅威事例のリスク評価を実践。
脅威の分類の傾向分析でなりすましに対する対策の必要性を記載。
どこで発生したかの傾向分析で保守用I/F・非正規I/Fからの攻撃に対する注意喚起を記載。
7項に未知の脅威への対応として内容①〜④を記載。
2項の脅威分析と4項のエビデンスに対応の内容を記載。
脅威分析のやり方とリスク評価について、4つの手法を用いて評

5章〜7章

価事例を記載。4.2.2 2項①で複数の評価手法での分析を推奨したり、2項③で対策後の再評価に活用するため記載。
3項の対策の検討の⑤に記載。ただし正当性の確認だけで、つな

要点11. 不特定の相手とつなげられても安全安心を確保できる設計をする

4.2.2

がる相手やつながる状況によるつながり方の対応までは言及して4.2.2

6項に評価・検証として内容①〜③を記載。

いない。
脅威分析を⾏う際のリスク特性にIPAの整理方法にならい「who要点12. 安全安心を実現する設計の検証・評価
を⾏う

誰がつなげたのか」「whom 何が危害をうけたか」「where ど
5章〜7章

こで発生したか」を加え、守るべきもの、つながり方、リスク箇所等を明確にした上でリスク評価し、リスク度に応じた対策の検討の必要性を記載。

要点13. 機器等がどのような状態かを把握し、4.2.2記録する機能を設ける
指針４
構築・接 ネットワーク上
続での対策を考え要点14. 機能及び用途に応じて適切にネット

4.2.2

ワーク接続する
要点15. 初期設定に留意する

4.2.3

る

8.2
要点16. 認証機能を導入する
4.2.2
要点17. 出荷・リリース後も安全安心な状態を維持する
要点18. 出荷・リリース後もIoT リスクを把握

指針５
運用・保
守

を維持し、情報発信・共有を⾏う合、システム全体や上位のコンポーネントでの対策検討を記載。
4項にソフトウェアアップデートについて内容①〜②を記載。
脅威の分類の傾向分析でなりすましに対する対策の必要性を記載。
3項の対策の検討の⑤に接続される機器やアプリソフトの正当性の確認を記載。
4項にアップデートとして内容①〜②を記載。

4.2.3

6項にインシデント情報の共有として内容を記載。

4.2.3

安全安心な状態

3項の対策の検討の⑩に、仕様の制約で十分な対策が取れない場

4.2.3

9章

し、関係者に守ってもらいたいことを伝える

7項④にログについての内容を記載。

今後の課題として脅威事例のアップデートと新しいユースケースに対応した脅威分析の継続の必要性を記載。
2項に運用時の使われ方の定義として内容を記載。
1項に取扱説明書としてユーザーに守ってほしい内容①〜②を記

要点19. つながることによるリスクを⼀般利用

4.2.3

者に知ってもらう載。
3項にユーザーへの注意喚起として内容①〜②を記載。

要点20. IoT システム・サービスにおける関係

4.2.2

者の役割を認識する要点21. 脆弱な機器を把握し、適切に注意喚起

4.2.3

を⾏う

47

3項の対策の検討の⑧に最終製品を出すところが、全体のシステ
ムとセキュリティの役割分担の方針を決めることを記載。
3項にユーザーへの注意喚起として内容①〜②を記載。

参考文献
[1]

IPA, “つながる世界の開発指針,” 2016.
http://www.ipa.go.jp/sec/reports/20160324.html[2]

CCDS, “第 2 回セキュリティガイドライン WG 資料,” 2015

[3]

IPA, “国内外の自動車の情報セキュリティ動向と意識向上策に関する調査報告書,” 2010.
https://www.ipa.go.jp/files/000014059.pdf[4]IPA, “2011 年度 自動車の情報セキュリティ動向に関する調査,” 2012.
https://www.ipa.go.jp/files/000014164.pdf[5]IPA, “自動車の情報セキュリティへの取り組みガイド,” 2013.
https://www.ipa.go.jp/files/000027273.pdf[6]

IPA, “繋がる組込みシステムの脅威とその対策,” 2014.
http://www.chubu.meti.go.jp/b34jyoho/shiryo/2014072425securitykoshukai/20140
72425ipa.pdf[7]

インターネット ITS 協議会, “2020 年の自動車社会とセキュリティ,” 2014.
https://www.ipa.go.jp/files/000037537.pdf[8]IPA, “第 2 回つながる世界の開発指針検討 WG 資料 3,” 2015.
http://www.ipa.go.jp/files/000047927.pdf[9]

ETSI, “Telecommunications and Internet Protocol Harmonization Over Networks(TIPHON) Release 4; Protocol Framework Definition; Methods and Protocols for
Security; Part 1: Threat Analysis. Technical Specification ETSI TS 102 165-1 V4.1.1,”
2003.
http://www.etsi.org/deliver/etsi_ts/102100_102199/10216501/04.01.01_60/ts_1021
6501v040101p.pdf[10] C. Laurendeau and M. Barbeau, “Threats to Security in DSRC/WAVE,” ADHOC-NOW

2006, LNCS 4104,
http://people.scs.carleton.ca/~claurend/Pubs/adhocnow2006.pdf

48

[11] ITS 情報通信システム推進会議, “運転支援通信システムに関するセキュリティガイドラ

イン. ITS FORUM RC-009 1.0 版,” 2011.
http://www.itsforum.gr.jp/Public/J7Database/p41/ITS_FORUM_RC009V1_0.pdf[12] 公益社団法人自動車技術会, “JASO テクニカルペーパ

自動車－情報セキュリティ分析

ガイド, JASO TP15002,” 2015.
[13] IoT 推進コンソーシアム, “IoT セキュリティガイドライン ver 1.0,” 2016.

http://www.soumu.go.jp/main_content/000428393.pdf

49